Oracle无“禁止导出”独立权限，需组合限制：禁用DIRECTORY读写权限阻断expdp，撤销EXP_FULL_DATABASE等角色限制exp，管控SELECT权限与资源配额抑制客户端导出，并回收UTL_FILE执行权及字典访问权。
Oracle 本身没有“禁止导出”的独立权限开关，所谓“不允许导出”实际是阻止用户通过 exp、expdp 或客户端工具（如 SQL Developer、DBeaver）批量提取数据——这不能靠删掉某个权限实现，而必须组合限制：切断导出路径依赖的权限 + 控制会话行为 + 拦截高风险操作。
为什么 GRANT SELECT 不等于允许导出，但也不等于禁止导出
用户只要有 SELECT 权限，就能用任何客户端连上去执行 SELECT * FROM t，再点“导出”按钮——这不是 Oracle 授予的“导出权限”，而是客户端本地行为。数据库层面无法直接拦截“导出动作”，只能让导出操作在执行时失败。
-
exp（旧版导出工具）依赖用户有EXP_FULL_DATABASE角色或SELECT_CATALOG_ROLE才能导出其他用户的对象；普通只读用户没这些角色，exp会报 ORA-01031 -
expdp（Data Pump）要求用户有EXP_FULL_DATABASE或被授予目录对象（DIRECTORY）上的READ和WRITE权限；没目录权限，expdp直接报 ORA-39002 / ORA-39070 - SQL Developer 等 GUI 工具的“导出为 CSV”本质是多次
SELECT+ 客户端拼装，只要SELECT权限存在，它就能跑——但你可以限制单次查询返回行数或超时，间接卡住大批量导出
禁用 expdp 导出的关键：不给 DIRECTORY 权限
Data Pump 是最危险的导出通道，因为它支持并行、大对象、跨 schema 导出。用户只要拿到一个可写的 DIRECTORY 对象，再配上 CREATE SESSION 和目标表的 SELECT，就能导出任意数据。
- 确认用户没被授过任何
DIRECTORY权限：SELECT * FROM DBA_TAB_PRIVS WHERE GRANTEE = 'READONLY_USER' AND PRIVILEGE = 'READ'; - 不要创建通用导出目录（如
DATA_PUMP_DIR）并开放给只读用户；若必须用，显式REVOKE READ, WRITE ON DIRECTORY data_pump_dir FROM readonly_user; - 避免用
GRANT READ ON DIRECTORY sys.data_pump_dir TO public;—— 这会让所有用户默认可读，包括只读账号
限制客户端批量导出的实际手段
光靠权限收窄不够，得从会话级加约束，让“导出”变慢、中断或报错：
- 设查询资源限制：用 profile 限制 CPU 和逻辑读，例如
ALTER PROFILE app_readonly_prof LIMIT CPU_PER_SESSION 10000 LOGICAL_READS_PER_SESSION 100000;，大量SELECT会触发 ORA-02392 - 限制单次查询返回行数：对只读用户启用
SET ARRAYSIZE 100（客户端侧），或在应用连接串里加fetchSize=100；数据库侧无法强制，但可通过OPTIMIZER_MAX_PERMUTATIONS等隐式参数抑制大结果集优化 - 用 Database Vault 或精细审计（
AUDIT SELECT ON app_schema.t BY ACCESS;）捕获高频、全表扫描式查询，配合告警而非阻断——因为真正要防的是“人肉导出”，不是正常报表
容易被忽略的导出旁路：视图、物化视图和 UTL_FILE
用户可能绕过表权限，通过其他对象达成等效导出效果：
- 如果授了
SELECT给视图（如vw_all_customers），而该视图含UNION ALL或远程表访问，导出时可能跨库拉取——需检查视图定义，必要时用WITH CHECK OPTION或重写为物化视图并限制刷新权限 - 物化视图日志或
DBMS_MVIEW.EXPLAIN_MVIEW可能暴露基表结构，虽不直接导出数据，但助于逆向建模；只读用户不应有SELECT ANY DICTIONARY或SELECT_CATALOG_ROLE -
UTL_FILE包允许写 OS 文件，若用户有EXECUTE权限且目录可写，可用 PL/SQL 自行导出；务必REVOKE EXECUTE ON UTL_FILE FROM readonly_user;
真正卡住导出，靠的不是某一条命令，而是让每条潜在路径都缺一不可：没目录权限 → expdp 失败；没高消耗资源配额 → 客户端导出卡死；没字典访问权限 → 不知道导什么；没 UTL_FILE → 写不了文件。这些点漏掉任意一个，都可能被绕过。
