oracle label security（ols）需完成策略初始化、组件定义、用户标签授权和表策略绑定四步才可用；lbacsys用户必须解锁且ols启用；level数值须严格递增；标签分配用sa_user_admin.set_user_labels而非grant；绑定策略后需手动填充ols_label列或设label_default。
oracle label security（ols）不能直接“开启即用”，必须先完成策略初始化、组件定义、用户标签授权和表策略绑定四步，缺一不可；跳过任何一步都会导致查询返回空结果或报错 ora-28100。
创建策略前必须确认 LBACSYS 用户已解锁且 OLS 已启用
OLS 的所有管理操作都依赖 LBACSYS 用户，但 OceanBase 和 Oracle 默认都将其锁定。不先解锁，后续所有 SA_SYSDBA.CREATE_POLICY 调用都会失败。
- 用
sys用户执行：ALTER USER LBACSYS ACCOUNT UNLOCK IDENTIFIED BY LBACSYS;（OceanBase 密码固定为LBACSYS） - 检查 OLS 是否启用：
SELECT * FROM V$OPTION WHERE PARAMETER = 'Oracle Label Security';，返回TRUE才继续 - 若未启用，需以
sys执行：EXEC LBACSYS.OLS_ENFORCEMENT.ENABLE_OLS;（注意：该操作需重启实例在部分旧版本中生效）
定义 Level/Compartment/Group 时参数顺序和数值范围有硬性约束
OLS 的标签由 Level（必选）、Compartment（可选）、Group（可选）三类组件构成，但 SA_COMPONENTS.CREATE_LEVEL 的第二个参数（level_num）不是任意整数——它决定了比较优先级，必须严格递增，且不能跳号（如 100 → 200 → 300 可行，100 → 250 → 300 也可，但 100 → 300 → 200 会破坏排序逻辑）。
- Level 数值越小，权限级别越低（
PUBLIC=100，INTERNAL=200，HIGH=300） - Compartment 和 Group 必须通过
SA_COMPONENTS.CREATE_COMPARTMENT/SA_COMPONENTS.CREATE_GROUP单独创建，不能在CREATE_LABEL里“写死”字符串 - 同一策略下所有组件的
short_name长度不能超过 30 字符，否则CREATE_LABEL报ORA-4041
给用户分配标签必须用 SA_USER_ADMIN.SET_USER_LABELS，而非 GRANT
常见误区是试图用 GRANT SELECT ON ... TO user 控制 OLS 访问——这完全无效。OLS 的权限控制发生在行级，与对象权限无关。真正起作用的是用户会话的“最大读标签”（MAX_READ_LABEL），它由 SA_USER_ADMIN.SET_USER_LABELS 设置。
- 命令格式：
CALL SA_USER_ADMIN.SET_USER_LABELS('MY_POLICY', 'SCOTT', 'HIGH:HR,FINANCE:EMEA'); - 第三个参数是完整标签字符串，格式为
Level:Compartments:Groups，各段缺失则留空（如仅 Level：'HIGH::'） - 用户登录后，其会话自动继承该标签；但若应用连接池复用会话，需确保每次执行前调用
SA_SESSION.SET_LABEL显式设置 - 未设置标签的用户，默认无法读取任何已启用 OLS 策略的表（即使有 SELECT 权限），返回空结果集，无报错
将策略绑定到表后，隐藏列 OLS_LABEL 不会自动填充，必须手动 UPDATE 或用 LABEL_DEFAULT
执行 SA_POLICY_ADMIN.APPLY_TABLE_POLICY 后，表会多出一个隐藏列（默认名 OLS_LABEL），但所有现有行的该列为 NULL。而 OLS 默认配置下，NULL 标签行对任何用户都不可见——这不是 bug，是设计行为。
- 解决方法一（推荐）：建策时加
table_options => 'LABEL_DEFAULT,READ_CONTROL,WRITE_CONTROL'，再用SA_LABEL_ADMIN.CREATE_LABEL创建默认标签，并设为表级默认值 - 解决方法二：对存量数据执行
UPDATE my_table SET OLS_LABEL = SA_LABEL_ADMIN.LABEL_TO_CHAR('MY_POLICY','HIGH'); - 注意：
SA_LABEL_ADMIN.LABEL_TO_CHAR返回的是 RAW 类型值，不能直接写字符串；必须用函数转换 - 若忘记填充且已有应用在查表，现象是“明明有数据却查不到”，排查时先查
SELECT COUNT(*) FROM my_table WHERE OLS_LABEL IS NULL;
最易被忽略的一点：OLS 策略一旦启用，所有对该表的 DML（包括 INSERT）都受写标签限制。如果用户会话的 MAX_WRITE_LABEL 低于目标行标签，INSERT 会静默失败（非报错），插入的数据实际被赋予用户默认写标签——这个行为在批量导入时极易引发数据分类错误，务必在上线前用真实标签组合做端到端验证。
