oracle不支持列级select授权，grant select on表会暴露所有字段；应创建只含非敏感列的视图并授权，同时回收基表权限，必要时结合vpd或行级视图实现细粒度控制。
不能靠 GRANT SELECT 配合列名来限制敏感字段访问——Oracle 原生不支持列级 SELECT 授权。
为什么直接 GRANT SELECT 表会暴露敏感列
Oracle 的 GRANT SELECT ON employees TO app_user 是整表授权，用户只要拿到这个权限，就能查 SELECT * FROM employees，salary、id_card 等字段全可见。12c 之前完全不支持列级 SELECT；12c+ 虽有细粒度审计和 DBMS_RLS，但依然没有原生的“只给 name 和 hire_date 的 SELECT 权限”这种语法。硬授表权限，等于把锁打开再递钥匙——最常踩的坑就是以为授权了“部分”，实际是全开。
创建只读视图并仅对视图授权
这是标准版、快速上线、无需额外许可的首选方案。核心是：显式列出要暴露的列，不写 *，且确保用户无基表访问路径。
CREATE VIEW emp_public_view AS SELECT emp_id, name, hire_date FROM employees;GRANT SELECT ON emp_public_view TO app_user;- 务必
REVOKE SELECT ON employees FROM app_user;（包括通过角色间接获得的权限） - 用户执行
SELECT * FROM emp_public_view时，salary字段根本不会出现在结果集里——不是 NULL，是压根没定义
视图加 WHERE 实现行级过滤，但要注意性能和限制
如果还要控制“只能看本部门数据”，可在视图中嵌入子查询：
CREATE VIEW emp_dept_view AS SELECT emp_id, name, hire_date FROM employees WHERE dept_id = (SELECT dept_id FROM departments WHERE manager = USER);
但需注意：
- 子查询若未命中索引，大表上可能显著拖慢查询速度
- Oracle 不允许在视图定义中直接用绑定变量（如
:dept_id），必须由应用拼 SQL 或改用 VPD - 视图里不能调用 PL/SQL 函数返回谓词（VPD 策略函数才支持纯 SQL 片段）
企业版可用 VPD，但别低估配置门槛
VPD（DBMS_RLS.ADD_POLICY）能在用户查原表时自动注入 WHERE 条件，甚至配合 sec_relevant_cols 参数隐藏列值（12.2+ 才支持列遮蔽）。但它要求：
- 必须是 Oracle Enterprise Edition（Standard Edition 不支持）
- 策略函数返回的必须是合法 SQL 字符串，不能含逻辑判断或异常处理
- 一旦启用，所有匹配策略的查询都会被重写，测试覆盖不全容易引发隐性故障
真正容易被忽略的是权限链路闭环：即使建了视图或配了 VPD，只要用户还能通过角色继承到基表 SELECT 权限，或者能访问 ALL_TAB_COLUMNS 查到字段结构，敏感信息就仍可能被推断或绕过。验证时一定要用目标用户身份连上去，跑 SELECT * FROM session_privs 和 SELECT * FROM session_roles 看实权，而不是只信授权语句写了什么。
