Data Redaction选件必须启用，通过SELECT parameter, value FROM v$option WHERE parameter = 'Data Redaction'确认返回TRUE；若为FALSE则需安装Oracle Advanced Security选件，Standard Edition不支持。
确认Data Redaction选件是否启用
没启用就根本走不下去，所有dbms_redact调用都会报ora-44305: data redaction is not enabled。这不是权限或语法问题，是二进制层面缺失。
必须用SYS AS SYSDBA执行：
SELECT parameter, value FROM v$option WHERE parameter = 'Data Redaction';
返回TRUE才能继续。若为FALSE，说明没装Oracle Advanced Security选件——不能靠SQL修复，得换License或重装实例。
- 别在Standard Edition上试，它压根不支持
- 别信“DBA角色自动带权限”的说法，
REDACT ANY COLUMN必须显式授 - 查
v$option是唯一可靠方式，DBA_REGISTRY或GV$OPTION不准
给目标用户授最小必要权限
权限错一个，策略建不成、启不动、查不出效果，但不会报具体缺哪项。
以用户ZHANGXG为例，需三权齐备：
BEGIN EXECUTE IMMEDIATE 'GRANT EXECUTE ON DBMS_REDACT TO ZHANGXG'; EXECUTE IMMEDIATE 'GRANT REDACT ANY COLUMN TO ZHANGXG'; EXECUTE IMMEDIATE 'GRANT SELECT ON HR.EMPLOYEES TO ZHANGXG'; END;
-
EXECUTE ON DBMS_REDACT不是EXECUTE ANY PROCEDURE -
REDACT ANY COLUMN是系统级高危权限，生产环境建议用role封装 - 如果表在别的schema下（比如
HR.EMPLOYEES），SELECT权限必须单独给，不能靠SELECT ANY TABLE兜底（它绕过redaction）
手机号掩码必须用DBMS_REDACT.PARTIAL配function_parameters
DBMS_REDACT.FULL会把整个手机号变空格或0，完全不适用；只有PARTIAL能保留前后段、只掩中间4位。
参数顺序和格式极其严格：保留位数、替换字符、起始位置，少逗号就ORA-44312。
推荐直接用内置模板：
function_type => DBMS_REDACT.PARTIAL, function_parameters=> DBMS_REDACT.REDACT_US_PHONE_NUMBER
如果手写模板（如11位手机号掩第4–7位），必须写成'VVVVVVFVVVV'：
-
V代表保留原值，F代表替换成* - 不能有空格、不能换行、不能用小写
v/f - 11位手机号写
'VVVVVVFVVVV'，13位（含+86）就得重算位置
EXPRESSION写错策略就静默失效
它不是SQL的WHERE，而是PL/SQL布尔表达式，写错不报错，只默默不触发脱敏。
正确写法示例（对非ADMIN用户生效）：
EXPRESSION => 'SYS_CONTEXT(''USERENV'', ''SESSION_USER'') NOT IN (''ADMIN'', ''DBA_USER'')'
- 必须用双单引号转义单引号，
''USERENV''不是"USERENV" - 禁止子查询：
'SELECT COUNT(1) FROM DUAL WHERE ...'直接无效 - 禁止用
USER变量：'USER != ''ADMIN'''无效，得用SYS_CONTEXT - 改完expression后必须显式执行
DBMS_REDACT.ENABLE_POLICY，否则还是Y/N状态不对
最后检查REDATION_POLICIES视图里ENABLED列是不是'Y'，不是1也不是TRUE——这是最容易忽略的点。
