oracle 21c 中不存在用户级“临时只读权限”操作，其只读性是 oracle home 级强制设计；真正需配置的是基于对象授权的可控只读访问权，如 create role + grant select on schema.table + create session，并避免使用 select any table。
oracle 21c 中不存在“配置只读模式下的用户临时权限”这个操作场景——因为 21c 的只读性是 oracle home 级别的强制设计，与用户权限完全无关；你真正需要的，是给用户授予受限的、可撤销的只读数据访问权。
为什么 roohctl 和 “切换只读模式” 在 21c 里毫无意义
试图在 Oracle 21c 上运行 roohctl -enable 会直接报错 bash: ./roohctl: No such file or directory。这不是路径没加对，而是该工具压根没打包进 21c 发行版。从 21c 开始，$ORACLE_HOME 默认且唯一就是只读的，安装完成即生效，不可禁用、不可回退、不提供切换入口。
常见误操作包括：
- 把 18c/19c 文档里的
roohctl命令复制到 21c 执行，结果连命令都找不到 - 手动
chmod -R u+w $ORACLE_HOME解除只读：破坏 Oracle 支持边界，后续打补丁、升级、克隆全部失败，Oracle Support 明确拒保 - 修改
$ORACLE_HOME/orabasetab强行指向$ORACLE_HOME：导致DBCA、netca等工具异常，甚至数据库无法启动
真正要配的不是“Home 只读”，而是“用户只读访问权限”
用户级只读权限必须基于对象授权（GRANT SELECT ON schema.table TO user），不能靠 SELECT ANY TABLE 这类全局权限。后者等于开放全库表扫描能力，且无法按表或 schema 撤销，运维失控风险极高。
实操要点：
- 新建角色封装权限：
CREATE ROLE app_readonly; - 生成目标 schema 下所有表的授权语句（避免漏表）：
SELECT 'GRANT SELECT ON '|| owner ||'.'|| table_name ||' TO app_readonly;' FROM dba_tables WHERE owner IN ('APP_SCHEMA'); - 必须显式授予
CREATE SESSION，否则用户连不上库：GRANT CREATE SESSION TO readonly_user; - 生产环境应锁定账号：
ALTER USER readonly_user ACCOUNT LOCK;，防止 SQL*Plus 等客户端直连 - 若用视图隐藏敏感字段，需单独授权视图：
GRANT SELECT ON v_emp_basic TO readonly_user;，原表权限 DBA 自己持有即可
临时权限？其实只是“可快速回收的对象授权”
Oracle 没有“临时权限”概念，但你可以做到秒级回收：只需 REVOKE SELECT ON schema.table FROM user;。关键在于别用全局权限，否则只能整权收回，影响范围不可控。
容易被忽略的坑：
- 双引号建的表名（如
"userOrder"）必须严格匹配大小写和引号授权，否则报ORA-00942 - 视图、同义词、物化视图不继承底层权限，需单独授
SELECT - 动态性能视图（如
v$session）需额外授SELECT_CATALOG_ROLE，但该角色权限过宽，更安全做法是建封装视图再授权 - 临时表空间必须在
CREATE USER时指定（TEMPORARY TABLESPACE temp），不能事后GRANT，否则排序、GROUP BY 等操作直接报ORA-01950
复杂点从来不在“怎么设只读”，而在于权限边界是否清晰、回收路径是否明确、以及是否误把 Home 级只读当成用户级控制手段。21c 的 orabasetab 和分离的 ORACLE_BASE_HOME 才是真·只读机制所在，用户权限只是另一条平行线，混在一起就全乱了。
