DBLink默认权限本身不越权，实际访问权限完全由远端数据库账号的授权决定；关键在于远端账号必须遵循最小权限原则，仅授予特定视图的SELECT权限，而非基表或ANY TABLE权限，并推荐使用Oracle Wallet避免密码明文存储。
DBLink 默认权限到底有多宽？
oracle 中，只要用户拥有 create database link 权限，并且能连接到远端库（凭账号密码或 wallet），就能建 dblink；但关键在于：建完之后，**谁用它、查什么、查多少，完全由远端库的权限控制**。本地用户执行 select * from table@remote_db 时，实际是以远端 dblink 定义中指定的账号身份（比如 remote_user）去访问远端对象——也就是说，越权风险根本不在本地，而在远端账号被授予了过宽权限。
如何限制远端账号只能访问指定表？
最直接有效的方式是：在远端数据库中，**只为 DBLink 关联的账号创建最小权限视图，并只授 SELECT 权限给该视图**，而非直接授表权限。例如：
CREATE VIEW remote_emp_view AS SELECT empno, ename, deptno FROM scott.emp WHERE deptno IN (10, 20); GRANT SELECT ON remote_emp_view TO dblink_user;
这样，即使本地用户通过 emp@remote_db 查询，实际走的是 remote_emp_view，且无法绕过 WHERE 条件（视图定义固化过滤逻辑）。务必避免给 dblink_user 授予 SELECT ANY TABLE 或对基表的直接 SELECT 权限。
能否禁止普通用户创建或使用 DBLink？
可以，但需分层控制：
- 回收
CREATE DATABASE LINK权限：执行REVOKE CREATE DATABASE LINK FROM user_x - 若已存在 DBLink，还需检查并清理：查询
USER_DB_LINKS，用DROP DATABASE LINK xxx删除非必要链接 - 更彻底的做法是：将 DBLink 统一由专用账号（如
app_dblink）创建，并设为SHARED+CONNECT TO远端受限账号，再通过同义词+权限控制暴露给业务用户——这样普通用户只能查预定义的同义词，无法新建或直连
DBLink 密码明文暴露在哪？怎么规避？
创建 DBLink 时若写 USING 'tns_alias' IDENTIFIED BY pwd，密码会以明文形式存入数据字典 DBA_DB_LINKS（即使是普通用户也能查 USER_DB_LINKS 的部分字段），这是重大安全隐患。
推荐方案是改用 Oracle Wallet：
- 在远端库配置透明数据加密（TDE）Wallet，并把连接凭证存入其中
- 创建 DBLink 时省略密码：
CREATE DATABASE LINK remote_db CONNECT TO remote_user IDENTIFIED EXTERNALLY USING 'tns_alias' - 确保
sqlnet.ora中设置WALLET_LOCATION，且 Oracle 进程有读取权限
Wallet 方式下，DBA_DB_LINKS 的 USERNAME 字段仍可见，但 PASSWORD 列为空，且无法反推凭证。
真正容易被忽略的是：DBLink 的安全边界不在语法或本地权限，而在于远端账号的最小化授权 + 凭证存储方式。哪怕本地做了严格管控，远端一个 GRANT ALL ON schema.* TO public 就足以让所有 DBLink 瞬间失效。
