Oracle中批量撤销某张表所有用户权限需查询DBA_TAB_PRIVS视图生成REVOKE语句，过滤目标表、排除系统用户及角色，并区分直接授权与角色间接授权，注意对象权限不支持CASCADE且需手动处理依赖对象。
直接查出所有对某张表的授权记录再生成REVOKE语句
想批量撤销一张表上所有用户的权限，不能靠猜或手动翻日志。oracle 提供了数据字典视图 dba_tab_privs，它存着谁对哪张表、被授予了什么权限（含 grant option 状态）。关键是要过滤出目标表，且排除掉系统用户（如 system、sys）和角色（角色名通常大写且不带引号），否则脚本会生成无效语句。
实操建议：
- 先确认表归属：用
SELECT OWNER, TABLE_NAME FROM DBA_TABLES WHERE TABLE_NAME = 'EMPLOYEES'查清大小写和 schema，避免因大小写不匹配导致查不到权限 - 执行查询生成脚本：
SELECT 'REVOKE ' || PRIVILEGE || ' ON ' || OWNER || '.' || TABLE_NAME || ' FROM ' || GRANTEE || CASE WHEN GRANTABLE = 'YES' THEN ' CASCADE;' ELSE ';' END AS revoke_sql FROM DBA_TAB_PRIVS WHERE TABLE_NAME = 'EMPLOYEES' AND OWNER = 'HR' AND GRANTEE NOT IN ('SYS', 'SYSTEM', 'DBA') AND GRANTEE NOT LIKE '%ROLE%'; - 注意：如果
GRANTABLE = 'YES'，说明该用户曾被授予WITH GRANT OPTION，加CASCADE是为了断掉下游链路（但 Oracle 实际不支持REVOKE ... CASCADE对对象权限生效，此处仅作标记提醒需人工处理）
Oracle 不支持对象权限的 CASCADE 撤销，必须分步处理依赖
你执行 REVOKE SELECT ON hr.employees FROM scott; 时，如果 scott 已基于这张表建了视图，Oracle 会直接报 ORA-01720: grant option does not exist for 'HR.EMPLOYEES' 或拒绝执行——不是语法错，而是权限模型强制要求你先清理依赖对象。
常见错误现象：脚本跑完，发现用户还能查视图；或者 REVOKE 报错中断，后续权限没撤干净。
实操建议：
- 查依赖对象：
SELECT NAME, TYPE FROM ALL_DEPENDENCIES WHERE REFERENCED_OWNER = 'HR' AND REFERENCED_NAME = 'EMPLOYEES' AND OWNER != 'HR'; - 若存在视图/函数/包体依赖，优先让
scott自行DROP VIEW v_emp;，或由 DBA 用CREATE OR REPLACE VIEW临时移除引用 - 不要指望一条命令“连根拔起”：Oracle 的对象权限撤销是原子操作，不递归、不级联，
CASCADE关键字在对象权限场景下被忽略（只对角色有效）
生成脚本前务必检查 GRANTEE 类型，避免对角色执行误操作
同一个 GRANTEE 名可能是用户，也可能是角色。如果把角色当用户去 REVOKE，语句能执行但毫无意义——因为角色本身不连接数据库，真正起作用的是“用户拥有该角色”。更糟的是，若脚本里混入 REVOKE SELECT ON hr.employees FROM HR_ROLE;，而 HR_ROLE 还被其他用户持有，就等于批量切断了多个用户的访问路径，且难以追溯。
实操建议：
- 区分用户与角色：
SELECT USERNAME FROM DBA_USERS WHERE USERNAME = 'SCOTT'和SELECT ROLE FROM DBA_ROLES WHERE ROLE = 'SCOTT'必须分开查 - 稳妥做法：只对
DBA_USERS.USERNAME出现在DBA_TAB_PRIVS.GRANTEE中的结果生成语句；跳过所有在DBA_ROLES里存在的同名项 - 加安全前缀判断：
AND GRANTEE IN (SELECT USERNAME FROM DBA_USERS)，比用字符串匹配更可靠
脚本执行后权限不会自动刷新当前会话，需用户重连或显式失效角色
REVOKE 语句一提交，数据字典立刻更新，但已打开的数据库连接不会同步感知。用户仍可继续查表、执行视图，直到他断开重连，或手动执行 SET ROLE NONE; 再重新 SET ROLE —— 这点常被忽略，导致“明明 revoke 了，怎么还能查”的困惑。
性能与兼容性影响：
- Oracle 12c 及以后版本中，
REVOKE是 DDL 操作，隐式提交，不可回滚；执行前无法用事务包裹 - 若表上有大量授权（比如上百个用户），生成的脚本可能超 SQL*Plus 默认缓冲区，建议用
SPOOL输出到文件再批量执行 - 别用 PL/SQL Developer 的“执行全部”按钮一键跑脚本——它可能把多条
REVOKE当成一个语句解析，报ORA-00911: invalid character
REVOKE SELECT ON hr.employees FROM scott; 成功了，但他还属于 HR_DEVELOPER 角色，而该角色仍有此权限）。所以动态脚本只能解决“直接授权”，间接路径得靠 DBA_ROLE_PRIVS 配合查。 
