必须先查实权限真实存在再执行revoke；盲目撤销select any table会导致standard包失效、大量对象invalid、登录报ora-06553；public对utl_http等包的execute权限及dba_*视图的select权限、select any dictionary等系统权限均须通过数据字典验证并及时回收。
必须先查实权限真实存在，再执行 REVOKE；盲目撤销 SELECT ANY TABLE 会导致 STANDARD 包失效、大量对象 INVALID、登录报 ORA-06553。
查 PUBLIC 是否真有 UTL_HTTP、UTL_FILE 等 EXECUTE 权限
别信文档或记忆，DBA_TAB_PRIVS 才是唯一事实来源。这些包一旦被 PUBLIC 拥有 EXECUTE 权限，任意用户都可读写服务器文件（UTL_FILE）、发起外连（UTL_HTTP）、执行代码注入（DBMS_SQL）。
- 执行：
SELECT grantee, privilege, owner, table_name FROM dba_tab_privs WHERE grantee = 'PUBLIC' AND privilege = 'EXECUTE' AND table_name IN ('UTL_HTTP', 'UTL_TCP', 'UTL_FILE', 'UTL_SMTP', 'DBMS_RANDOM', 'DBMS_SQL') AND owner = 'SYS'; - 注意大小写：视图中
table_name存的是全大写，漏写owner = 'SYS'可能漏掉关键记录 - 结果为空？说明权限压根没授过，
REVOKE EXECUTE ON sys.utl_file FROM PUBLIC;会直接报ORA-01927，白忙活
别只盯对象权限，DBA_* 视图的 SELECT 权限更危险
PUBLIC 对 DBA_USERS、DBA_TAB_PRIVS 的 SELECT 权限，等于把整库元数据裸奔给所有用户——等保2.0 明确禁止。这类权限不会出现在“高危包”清单里，但危害不低。
- 执行：
SELECT grantee, privilege, owner, table_name FROM dba_tab_privs WHERE grantee = 'PUBLIC' AND privilege = 'SELECT' AND owner = 'SYS' AND table_name LIKE 'DBA_%'; - 顺手扫一遍
ALL_%视图（如ALL_SOURCE），它们也常被误授 - 发现记录？立刻
REVOKE SELECT ON sys.DBA_USERS FROM PUBLIC;—— 不要犹豫
系统权限藏在 DBA_SYS_PRIVS，不是 DBA_TAB_PRIVS
DBA_TAB_PRIVS 只管对象权限（比如对某张表、某个包的权限），而 PUBLIC 可能被授予 SELECT ANY DICTIONARY 这类系统权限，它比任何对象权限都危险：允许读取所有数据字典基表。
- 执行：
SELECT grantee, privilege, admin_option FROM dba_sys_privs WHERE grantee = 'PUBLIC'; - 重点盯：
SELECT ANY DICTIONARY（绝对禁止）、UNLIMITED TABLESPACE（应收回）、CREATE SESSION（通常保留，但需确认必要性） - 若查到
SELECT ANY DICTIONARY，立刻执行：REVOKE SELECT ANY DICTIONARY FROM PUBLIC;
同义词和角色链式授权最容易被漏掉
权限可能不是直接授给 PUBLIC，而是通过角色间接授予，或靠 PUBLIC 同义词绕过检查。这两种情况都不会出现在 DBA_TAB_PRIVS 的简单查询中。
- 查同义词：
SELECT synonym_name, table_owner, table_name FROM dba_synonyms WHERE owner = 'PUBLIC' AND table_owner = 'SYS' AND table_name IN ('UTL_HTTP', 'UTL_FILE'); - 查角色链式授权：先找谁把权限给了角色，再查该角色是否授给了
PUBLIC，例如：SELECT granted_role FROM dba_role_privs WHERE grantee = 'PUBLIC';，再对每个角色查其系统/对象权限 - 发现间接路径？不能只 revoke PUBLIC，得顺藤摸瓜 revoke 中间角色的对应权限，否则无效
真正麻烦的从来不是语法写错，而是权限路径比你想象的更绕——一个同义词、一层角色嵌套、一次历史遗留的 GRANT SELECT ON DBA_* TO PUBLIC，都可能让加固动作形同虚设。动手前，务必用数据字典说话，而不是凭经验猜。
