如何授予Oracle JVM网络访问权限_DBMS_JAVA.GRANT_PERMISSION配置Socket连接-Oracle-PHP中文网

要开启socket权限，需调用dbms_java.grant_permission('schema', 'java.net.socketpermission', 'host:port', 'connect[,resolve]')，目标不可用'*'字面量，动作须显式指定，且schema必须与java类所有者一致。

dbms_java.grant_permission 要加哪些参数才能开 socket？

只给 java.net.socketpermission，不指定动作和目标，权限根本不会生效。oracle jvm 的安全模型很严格，缺一不可。

常见错误是只写：
DBMS_JAVA.GRANT_PERMISSION('SCOTT', 'java.net.SocketPermission', '*', 'connect');
这看起来像“全放行”，但 * 在 SocketPermission 里不是通配符，而是字面量主机名——它只会匹配叫 * 的机器，显然不存在。

目标必须是具体 host:port 形式，比如 'localhost:1521'、'api.example.com:443'，或用 '*' 表示任意主机（仅限 Oracle 12c+，且需显式启用）
动作只能是 'connect'（出站）、'resolve'（DNS 查询），多数场景只需 'connect'
如果目标含端口范围（如 '8080-8090'），要确保 Oracle JVM 版本支持（12.1 起才支持端口范围语法）

为什么 GRANT_PERMISSION 后还是报 java.security.AccessControlException？

最常被忽略的是：权限授予对象必须和运行 Java 存储过程的 schema 完全一致。不是当前登录用户，也不是调用者，而是 CREATE OR REPLACE AND RESOLVE JAVA SOURCE 所在的 schema。

比如你用 HR 用户编译了 Java 类，但对 SCOTT 执行了 GRANT_PERMISSION，那毫无作用。

查当前 Java 类归属：SELECT OWNER, OBJECT_NAME FROM ALL_OBJECTS WHERE OBJECT_TYPE = 'JAVA CLASS';
确认 JVM 是否启用网络权限检查：SELECT * FROM V$OPTION WHERE PARAMETER = 'Java Virtual Machine';（必须为 TRUE）
注意：Oracle 19c 默认禁用 SocketPermission 的 * 主机通配，需额外设置 java.security.policy 或打补丁

Oracle 12c+ 支持通配符，但得这么写才安全

想允许连接任意外部地址，不能靠 '*:*' 这种旧写法（11g 兼容但不推荐），12c 起应使用标准 Java 策略语法：'*' 表示所有主机，'*' 端口部分必须显式写出 '*' 或范围。

正确示例（允许所有 outbound TCP 连接）：
DBMS_JAVA.GRANT_PERMISSION('SCOTT', 'java.net.SocketPermission', '*', 'connect,resolve');

'resolve' 必须显式加上，否则 InetAddress.getByName() 会失败
生产环境严禁用 '*'，应锁定到明确域名/IP+端口，比如 'payment-gateway.company.internal:443'
若目标服务用 DNS 轮询，只写 IP 会导致 resolve 失败，此时必须授权域名 + 'resolve'

GRANT_PERMISSION 不生效？先检查 JVM 级别限制

即使 SQL 执行成功，JVM 层可能仍拦截请求。Oracle 从 12.2 开始引入 java.security.manager 控制开关，默认开启，但某些补丁或配置会绕过它——导致权限看似授予却不起作用。

检查是否启用了细粒度 JVM 安全策略：SELECT DBMS_JAVA.LONGNAME('java.security.policy') FROM DUAL;（返回非空表示自定义策略已加载）
确认数据库未启用 DISABLE_JAVA_NETWORK 隐含参数（需 DBA 检查 SHOW PARAMETER java）
调试时加日志：DBMS_JAVA.SET_OUTPUT(1000000); 再运行 Java 代码，看是否抛出原始 AccessControlException 及详细 target

真正麻烦的不是怎么写 GRANT_PERMISSION，而是权限链路上每层都可能卡住：schema 对不上、JVM 参数锁死、DNS 解析被单独拦截、甚至 Oracle Wallet 配置影响 HTTPS 握手——这些细节不逐层验证，光改一行 SQL 没用。