Oracle默认不记录权限变更操作链，需启用DB或DB_EXTENDED审计模式并审计GRANT ANY PRIVILEGE等系统权限，且须设置AUDIT_SYS_OPERATIONS=TRUE才能捕获SYS/SYSTEM操作。
Oracle 默认不记录权限变更的完整操作链，除非你明确启用对应类型的审计策略。直接查 DBA_AUDIT_TRAIL 或 DBA_AUDIT_OBJECT 通常看不到 GRANT/REVOKE 的详细语句——因为权限变更属于“系统权限使用”或“角色授予行为”，需单独配置权限级审计（privilege audit），而非对象或语句审计。
必须开启 AUDIT_TRAIL 并设为 DB 或 DB_EXTENDED
这是所有审计记录写入数据库表（SYS.AUD$）的前提。若当前是 NONE 或 OS，DBA_AUDIT_TRAIL 将为空：
-
SHOW PARAMETER audit_trail查当前值； - 若非
DB或DB_EXTENDED，执行：ALTER SYSTEM SET audit_trail = DB_EXTENDED SCOPE=SPFILE; - 重启实例生效 —— 这是硬性要求，
AUDIT_TRAIL是静态参数； - 注意：
DB_EXTENDED才能捕获实际执行的GRANTSQL 文本和绑定变量，仅DB只记动作类型和用户。
用 AUDIT GRANT ANY PRIVILEGE 等系统权限审计覆盖常见场景
权限变更是通过系统权限（如 GRANT ANY PRIVILEGE、GRANT ANY ROLE）或直接执行 GRANT 语句完成的。标准做法不是审计每个 GRANT 动作，而是审计“谁拥有并使用了高危授权权限”：
-
AUDIT GRANT ANY PRIVILEGE BY ACCESS;→ 记录任何用户调用该权限执行授权的行为； -
AUDIT GRANT ANY ROLE BY ACCESS;→ 覆盖角色授予； -
AUDIT EXECUTE ANY PROCEDURE BY ACCESS;→ 防止通过存储过程绕过审计； - 避免写
AUDIT GRANT ON ...—— Oracle 不支持对 DDL 动作（如GRANT）做对象级审计； - 审计生效后，相关记录会出现在
DBA_AUDIT_TRAIL中，ACTION_NAME字段为GRANT或REVOKE，SQL_TEXT在DB_EXTENDED模式下可见。
查不到记录？重点检查三个地方
即使开了审计，也常因权限范围或视图误用导致“查无结果”：
- 确认查询的是
DBA_AUDIT_TRAIL，不是DBA_OBJ_AUDIT_OPTS（后者只存审计策略，不存日志）； -
GRANT操作若由SYS或SYSTEM执行，默认不进DBA_AUDIT_TRAIL—— 需额外设AUDIT_SYS_OPERATIONS = TRUE并重启，否则只写 OS 文件（$ORACLE_BASE/admin/$ORACLE_SID/adump/）； - 普通用户执行的
GRANT，必须确保其使用的权限本身已被审计（例如用户用GRANT ANY ROLE授予角色，但你只审计了GRANT ANY PRIVILEGE，就不会触发记录）； - 时间范围过滤别漏：
TIMESTAMP是数据库时间，不是客户端本地时间，且默认不带时区，查时建议用SYSDATE - 1范围兜底。
细粒度权限变更（比如某用户被悄悄加进 DBA 角色）最难捕获，因为它可能通过多层角色继承实现，而审计只记录显式 GRANT 行为。真要盯死这类操作，得配合定期比对 DBA_ROLE_PRIVS 快照 + 启用 AUDIT_SYS_OPERATIONS，否则日志里根本不会出现“隐式生效”的痕迹。
