dbms_rls.add_policy必须显式指定function_schema参数，否则报ORA-28112；策略函数须返回纯WHERE谓词字符串，不支持子查询或绑定变量；UPDATE/INSERT需设update_check=>TRUE以校验新值；验证需跨用户实测并查执行计划。
dbms_rls.add_policy 必须指定 function_schema 和 policy_function
很多人在调用 dbms_rls.add_policy 时只传了表名和策略函数名，却忘了 function_schema 参数——这会导致 ORA-28112 错误：“failed to execute policy function”。Oracle 要求策略函数必须显式声明所属 schema，哪怕函数和表在同一 schema 下也不能省略。
常见错误写法：BEGIN dbms_rls.add_policy(object_schema=>'SCOTT', object_name=>'EMP', policy_name=>'EMP_VPD', policy_function=>'f_emp_vpd'); END;
→ 缺少 function_schema，执行失败。
正确写法必须包含：
- function_schema：策略函数所在的 schema（如 'SCOTT'）
- policy_function：函数名（可带 package 前缀，如 'pkg_sec.f_emp_vpd'）
- 函数签名必须是两个 VARCHAR2 入参，返回 VARCHAR2（即 WHERE 条件字符串）
策略函数返回的谓词不能含 SELECT 或绑定变量
VPD 策略函数返回的是纯字符串谓词，会被 Oracle 自动拼接到用户 SQL 的 WHERE 子句后。它不是 PL/SQL 块，不支持子查询、绑定变量或动态 SQL。
错误示例：RETURN '(SELECT deptno FROM user_context WHERE user_id = SYS_CONTEXT(''USERENV'', ''SESSION_USER'')) = deptno';
→ 执行时报 ORA-28113：policy predicate has error。
正确做法是把上下文值提前取出来：
- 使用 SYS_CONTEXT('USERENV', 'SESSION_USER') 或自定义 context（如 SYS_CONTEXT('VPD_CTX', 'ORG_ID')）
- 在函数内直接拼接字符串，例如：RETURN 'org_id = ' || SYS_CONTEXT('VPD_CTX', 'ORG_ID');
注意：需确保 context 已在登录触发器或应用层设置好，否则返回 NULL 导致全表过滤失效。
VPD 对 INSERT/UPDATE 的 update_check 参数很关键
如果策略同时作用于 INSERT 或 UPDATE，且希望检查“插入/更新后的数据是否仍满足策略条件”，必须显式设置 update_check => TRUE。否则 Oracle 只校验查询，不校验 DML 后的数据可见性。
例如限制用户只能修改自己部门的员工：
- 若设 statement_types => 'SELECT,UPDATE' 但 update_check => FALSE，用户仍可能把别人部门的员工 UPDATE 进自己部门，绕过策略；
- 设为 update_check => TRUE 后，UPDATE 语句会额外加 CHECK 约束逻辑，确保新值也符合策略谓词。
其他要点：
- enable => FALSE 可先添加策略但不启用，便于测试
- statement_types 支持组合，如 'SELECT,INSERT,UPDATE'，但 DELETE 需谨慎——策略函数返回的谓词会影响删除范围，可能引发误删
- 策略默认对所有用户生效；如需按用户区分，应在策略函数中用 SYS_CONTEXT('USERENV', 'SESSION_USER') 判断
验证策略是否生效不能只查 USER_POLICIES
SELECT * FROM USER_POLICIES 只说明策略已注册，不代表当前会话正在受控。真正验证要分角色、分用户实测：
必须做三件事：
- 用被限制用户（如 SCOTT）连接，执行 SELECT * FROM emp，确认结果行数/内容符合预期
- 用 DBA 用户（如 SYSTEM）同样执行该语句，确认不受影响（除非策略指定了 sec_relevant_cols 或 context 绑定）
- 检查执行计划：VPD 生效后，原语句的 plan 中会出现 ACCESS_PREDICATES 或 FILTER_PREDICATES 字段，内容含你策略函数返回的谓词字符串
容易忽略的一点：VPD 不影响同义词或视图的定义，但会影响通过它们访问基表的行为——只要最终落到受策略保护的表上，谓词就会自动追加。所以测试时别只查视图，要确认基表策略是否穿透生效。
