oracle触发器无法实现细粒度访问控制（fgac/vpd），因其仅响应dml操作且无法拦截或改写select查询；真正实现行级安全须使用dbms_rls.add_policy，在sql解析阶段动态注入where谓词，全程透明、不可绕过。
不能。Oracle触发器无法实现细粒度访问控制（FGAC/VPD）。
触发器根本不能拦截或改写查询结果
细粒度访问控制的核心是“动态加WHERE条件”——用户执行 SELECT * FROM employees，系统自动变成 SELECT * FROM employees WHERE department_id = 10。触发器做不到这点：它只在DML（INSERT/UPDATE/DELETE）发生后响应，对SELECT完全无感知，更不会修改SQL执行计划或结果集。
- BEFORE UPDATE 触发器能校验数据，但不能阻止用户看到其他行
- AFTER INSERT 触发器能记日志，但无法让某用户查不到别人的数据
- 哪怕用
RAISE_APPLICATION_ERROR在触发器里抛错，也只影响写操作，不影响读
真正该用 DBMS_RLS.ADD_POLICY
行级安全策略由 Oracle 内核在解析SQL时注入谓词，全程透明、不可绕过。必须用 DBMS_RLS 包：
- 先写策略函数，返回字符串如
'emp_id IN (SELECT emp_id FROM user_access WHERE user_name = USER)' - 再调用
DBMS_RLS.ADD_POLICY绑定到表，指定statement_types => 'SELECT' - 策略默认启用，且对所有会话生效，无需改应用代码
示例关键行：BEGIN DBMS_RLS.ADD_POLICY(object_schema=>'hr', object_name=>'employees', policy_name=>'emp_policy', policy_function=>'emp_dept_policy', statement_types=>'SELECT'); END;
为什么有人误以为触发器能做访问控制？
混淆了“审计”和“访问控制”两个目标：
- 触发器能做细粒度 审计（记录谁改了 salary 从 5000 到 6000），靠
:OLD.salary和:NEW.salary - 但做不到细粒度 访问控制（让 user_A 只看到自己部门的行），那是
DBMS_RLS的职责 - 把触发器当访问控制用，最后只能靠应用层硬过滤，既不安全又易漏
最常被忽略的点：策略函数里不能有 DML 或复杂查询，否则可能拖慢所有 SELECT；且函数必须声明为 RESULT_CACHE（如支持）或确保高并发下稳定返回，否则策略本身就成了性能瓶颈。
