DBMS_CRYPTO必须由SYS用户显式授权且需加模式前缀，因该包属SYS模式、非PUBLIC对象，普通DBA无权跨模式授予权限；直接GRANT EXECUTE ON DBMS_CRYPTO会因缺少SYS.前缀报ORA-00942，正确语法为GRANT EXECUTE ON SYS.DBMS_CRYPTO TO user。
dbms_crypto 默认不向普通用户开放，必须显式授权才能使用；直接 grant execute on dbms_crypto to user 会报 ora-01917 错误，因为该包属于 sys 模式且未被 public 授权。
为什么直接 GRANT EXECUTE 失败？
Oracle 限制了对 DBMS_CRYPTO 的默认访问：它不是 PUBLIC 可用的系统包，且 SYS 用户下的对象不能由普通 DBA（非 SYSDBA）直接跨模式 GRANT。常见错误是执行：
GRANT EXECUTE ON DBMS_CRYPTO TO myuser;
结果报错：ORA-01917: user or role 'MYUSER' does not exist（若用户名大小写不匹配）或更典型的 ORA-00942: table or view does not exist（因未加模式前缀）。
关键点：
-
DBMS_CRYPTO属于SYS模式，必须写成SYS.DBMS_CRYPTO - 执行授权的用户需具备
ADMIN OPTION或以SYS AS SYSDBA身份登录 - 目标用户必须已存在，且用户名大小写敏感（若用双引号创建过）
正确授权语法与最小权限原则
推荐始终用 SYS 用户（SYS AS SYSDBA）执行授权，避免权限链断裂：
CONNECT / AS SYSDBA; GRANT EXECUTE ON SYS.DBMS_CRYPTO TO myuser;
如果只需部分能力（如仅解密），可进一步缩小范围——但注意：DBMS_CRYPTO 不支持细粒度函数级授权（如只授 DECRYPT），EXECUTE 权限即允许调用所有公开函数（ENCRYPT、DECRYPT、HASH、RANDOMBYTES 等）。
额外建议：
- 不要授予
WITH GRANT OPTION，除非明确需要转授 - 若应用只需哈希（如密码存储），可考虑改用
DBMS_OBFUSCATION_TOOLKIT.HASH（旧包，但权限更宽松）或迁移到STANDARD_HASH（12c+ 内置函数，无需额外授权） - 验证是否生效：
SELECT * FROM SESSION_PRIVS WHERE PRIVILEGE LIKE '%CRYPTO%';
常见运行时错误及排查路径
即使授权成功，仍可能在 PL/SQL 中遇到运行时异常：
-
PLS-00201: identifier 'SYS.DBMS_CRYPTO' must be declared：未在代码中加SYS.前缀，应写SYS.DBMS_CRYPTO.ENCRYPT(...) -
ORA-28235: no key found for encryption/decryption：密钥参数为空或格式错误（如RAW长度不满足 AES-256 要求） -
ORA-28234: key length too short：传入的密钥RAW长度不足（AES256 要求 32 字节） - 加密后无法解密：检查
encryption_type参数是否一致（如DBMS_CRYPTO.DES_CBC_PKCS5vsDBMS_CRYPTO.AES256_CBC），且 IV 是否保存并复用
调试时优先确认：SELECT OWNER, OBJECT_NAME, OBJECT_TYPE FROM DBA_OBJECTS WHERE OBJECT_NAME = 'DBMS_CRYPTO'; —— 应返回 SYS 下的 PACKAGE 和 PACKAGE BODY。
真正容易被忽略的是密钥管理和 IV 持久化：授权只是第一步，DBMS_CRYPTO 对输入类型极其严格（比如要求 RAW 而非 VARCHAR2），且不自动处理字符集转换；一次密钥长度或填充方式写错，就会导致看似授权成功却全程静默失败。
