oracle私有dblink不可授权，仅创建者可用；必须通过删除链接、回收创建权限、改用public链接并授远程表权限、或撤销远程账号create session权限来限制访问。
不能靠 GRANT/REVOKE 控制私有 DBLink 的使用权限——这是最常被误解的一点。Oracle 没有 GRANT SELECT ON dblink_name 这种语法，ORA-02030 就是明确告诉你：DBLink 不是可授权对象类型。
为什么直接授予权限会失败？
私有 DBLink 本质是会话级元数据，只在创建者（比如 user_a）的会话中注册连接描述符。其他用户（user_b）执行 SELECT * FROM t@my_dblink 时，解析阶段就失败，报 ORA-02019: connection description for remote database not found。这不是远程表没权限，是“连都连不上”。
尝试 GRANT SELECT ON user_a.my_dblink TO user_b 必然触发 ORA-02030，因为 dba_tab_privs 里根本不存在 DBLink 这类对象。
真正有效的限制手段只有三种
限制 DBLink 使用，必须从源头或路径上切断：
- 删掉私有 DBLink：
DROP DATABASE LINK my_dblink（仅创建者能执行） - 回收创建权限：
REVOKE CREATE DATABASE LINK FROM user_a，防止重建 - 改用 PUBLIC DBLink 并严格控制使用者：创建时用
CREATE PUBLIC DATABASE LINK，再配合GRANT SELECT ON remote_table TO specific_user——注意，这里授的是远程表权限，不是 DBLink 本身 - 关闭远程库的登录能力：在目标库 revoke
CREATE SESSION权限给该 DBLink 使用的远程账号（如remote_user），这样即使 DBLink 存在，也会报ORA-01017: invalid username/password
GLOBAL_NAMES=TRUE 时的隐性约束
如果本地库参数 GLOBAL_NAMES 设为 TRUE，那么 DBLink 名必须与远程库的 GLOBAL_NAME 完全一致。这看似是命名限制，实则构成一种间接管控：你无法随意起名，也不能复用已有 link 名指向不同库，降低了误配风险。
查远程库全局名：SELECT * FROM GLOBAL_NAME@remote_dblink；查本地设置：SHOW PARAMETER global_names。
最容易被忽略的点：tnsnames.ora 文件权限
DBLink 定义里若用的是 TNS 别名（如 USING 'REMOTEDB'），那这个别名必须存在于创建者的 $ORACLE_HOME/network/admin/tnsnames.ora 中。但 Oracle 不校验该文件是否对其他用户可读——所以哪怕你给了别人 CREATE DATABASE LINK 权限，只要他没有对应 TNS 配置，USING 'REMOTEDB' 仍会报 ORA-12154: TNS:could not resolve the connect identifier。
换句话说：TNS 配置本身就是一个天然访问边界。运维时别忘了检查 tnsnames.ora 的文件属主和权限（通常应为 oracle:oinstall，且不开放 world-writable）。
