直接查DBA_TAB_PRIVS会漏权限，因其仅记录显式授权，不展开角色继承、间接授予或PUBLIC等隐含权限；需联合DBA_ROLE_PRIVS和递归查询才能完整还原用户表级权限来源。
查不到某个用户对某张表的权限，不是权限没授，而是你没顺着授权链往下挖——dba_tab_privs 只存直接授权，不展开角色继承、间接授予或系统角色隐含的权限。
为什么直接查 DBA_TAB_PRIVS 会漏掉权限
DBA_TAB_PRIVS 是一张「快照表」：只记录显式执行 GRANT 语句产生的行。它不会自动关联角色成员关系，也不会递归展开 GRANT SELECT ON emp TO hr_role → GRANT hr_role TO alice 这样的两层路径。
- 如果用户是通过角色获得权限，
DBA_TAB_PRIVS里GRANTEE字段显示的是角色名（如'HR_ROLE'），不是用户名（如'ALICE'） - 角色本身可能再被其他角色包含，形成多级嵌套；
DBA_TAB_PRIVS不体现这种层级 -
PUBLIC作为特殊GRANTEE，容易被忽略，但它的存在意味着任意用户都能访问该对象 - 某些权限（如
REFERENCES）虽不常执行，却允许建外键——查权限时若只盯着SELECT/INSERT就会漏掉数据依赖风险
怎么从用户出发，完整还原表级权限来源
必须把三张视图串起来查：先找用户拥有的角色，再找这些角色被授予了哪些表权限，最后合并直接授给用户的权限。不能只靠单条 SELECT * FROM DBA_TAB_PRIVS WHERE GRANTEE = 'ALICE'。
- 第一步：查用户直接受到的表权限
SELECT OWNER, TABLE_NAME, PRIVILEGE, GRANTOR, GRANTABLE FROM DBA_TAB_PRIVS WHERE GRANTEE = 'ALICE' - 第二步：查用户拥有的角色
SELECT GRANTED_ROLE FROM DBA_ROLE_PRIVS WHERE GRANTEE = 'ALICE' - 第三步：查这些角色各自有哪些表权限（注意用
IN子查询，别手写角色列表）SELECT OWNER, TABLE_NAME, PRIVILEGE, GRANTOR, GRANTED_ROLE AS VIA_ROLE FROM DBA_TAB_PRIVS WHERE GRANTEE IN (SELECT GRANTED_ROLE FROM DBA_ROLE_PRIVS WHERE GRANTEE = 'ALICE') - 第四步：如果想看到更深层的角色嵌套（比如角色 A 包含角色 B，B 再有权限），得递归查
ROLE_ROLE_PRIVS，但生产环境一般只追 1–2 层就够用了
GRANTABLE 和 HIERARCHY 到底意味着什么
这两个字段决定权限是否能“再传下去”，是权限审计的关键判断依据，但很多人只看 PRIVILEGE 就停了。
-
GRANTABLE = 'YES'表示该用户/角色可以把这个权限再GRANT给别人——哪怕只是SELECT，一旦可转授，就可能绕过最小权限原则 -
HIERARCHY = 'YES'仅对少数权限有效（主要是SELECT），表示该权限支持对象继承，常见于启用 Oracle Label Security 或 Virtual Private Database 的场景；普通业务库基本用不到，但查安全合规报告时必须确认其值 - 两者都为
'NO'才算“干净”的最小权限；任一为'YES'都要标记为潜在扩散点 - 注意：
GRANTABLE值区分大小写，Oracle 存储为大写，但如果你用双引号创建过小写角色（如"app_role"），匹配时必须带引号且大小写一致
权限查不到？先核对这三件事再怀疑没授权
90% 的“查不到权限”问题，其实卡在访问权限或条件写错上，而不是数据不存在。
- 当前用户没有
SELECT ANY DICTIONARY或SELECT_CATALOG_ROLE，根本无法查DBA_TAB_PRIVS——换用ALL_TAB_PRIVS（只显示你有权访问的对象）或USER_TAB_PRIVS（只查你自己拥有的） -
OWNER写成了用户名，比如用户SCOTT创建的表，OWNER是'SCOTT'，不是'SYSTEM'或当前登录用户 - 表名默认大写，除非建表时加了双引号（如
CREATE TABLE "emp"），否则查TABLE_NAME = 'emp'会返回空——统一用大写或加UPPER()函数包裹
真正难的不是拼 SQL，而是理解权限不是静态快照，而是一张动态网。每查一次 DBA_TAB_PRIVS，都要同步问一句：这个 GRANTEE 是人、是角色、还是 PUBLIC？它有没有再被别的角色包含？有没有被 GRANT ... WITH GRANT OPTION 放出去？漏掉任意一环，审计结论就可能出错。
