oracle中授予包执行权限的唯一有效方式是grant execute on schema.package_name to user，不支持对包内单个子程序授权，且必须直接授予、不可通过角色间接赋予，同时需确保包所有者已直接拥有被操作表的权限。
GRANT EXECUTE ON package 是唯一有效方式
Oracle 不支持对包内单个过程或函数单独授权，GRANT EXECUTE ON hr.emp_pkg.get_dept_list TO scott 语法直接报错 ORA-00905: missing keyword。你必须对整个包头（spec）授予权限，包体（body）无需单独处理——权限检查只认包头。
常见错误是误以为“授了包就能调用所有子程序”，其实只要包头有效且有 EXECUTE 权限，所有 public 过程、函数、类型都可调用；但若包头失效（比如依赖的表被删），即使权限存在，调用仍会报 PLS-00905: object is invalid。
- 必须显式写全 schema 名：例如
GRANT EXECUTE ON app_data.employees_pkg TO app_user，不能省略app_data. - 不支持
WITH GRANT OPTION：语句GRANT EXECUTE ON app_data.p_check_balance TO app_admin WITH GRANT OPTION会报ORA-01927或直接拒绝解析 - 同义词不改变权限模型：建了
CREATE SYNONYM my_pkg FOR app_data.employees_pkg后，仍需对原包授权，否则调用时抛PLS-00201或ORA-00942
为什么不能通过角色间接授予 EXECUTE 权限
如果过程定义为 AUTHID DEFINER（默认行为），角色授予的 EXECUTE 权限在运行时完全无效。用户调用时看似能解析对象，但执行中访问底层表会报 ORA-00942: table or view does not exist，现象和对象不存在一模一样，极易误判。
根本原因是 Oracle 在定义者权限上下文中，只检查调用者是否被**直接授予**了该对象的 EXECUTE 权限，角色里的权限被彻底忽略。
- ❌ 错误链路：
GRANT EXECUTE ON app_owner.p_do_something TO app_exec_role→GRANT app_exec_role TO app_user - ✅ 唯一可靠路径：
GRANT EXECUTE ON app_owner.p_do_something TO app_user（逐个直授） - 权限生效无需重连，但脚本批量生成授权语句时，仍要确保每条都是直接授予
EXECUTE ANY PROCEDURE 是高危权限，必须禁用
该系统权限绕过所有对象级控制，用户可调用任意 schema 下的任意存储过程、函数、包，包括 DBMS_* 系统包。更危险的是：它无法被精准回收——REVOKE EXECUTE ANY PROCEDURE 会一并收回对所有 standalone 过程的调用权，可能破坏已有业务逻辑。
它也不解决“过程内部查表”的问题：哪怕授了 EXECUTE ANY PROCEDURE，过程里查 hr.employees，用户仍需额外 SELECT ON hr.employees 才能成功运行。
- 应用用户绝对禁止授予
EXECUTE ANY PROCEDURE - DBA 或运维账号才应持有该权限，且仅用于临时诊断
- 检查现有用户是否误拥：查询
SELECT * FROM DBA_SYS_PRIVS WHERE PRIVILEGE = 'EXECUTE ANY PROCEDURE'
防止绕过 Package 直接操作表的关键点
只授 EXECUTE 权限本身不提供数据访问能力，真正访问由包内代码完成。但这要求包的所有者（如 app_data）已**直接拥有**被操作表的 SELECT/INSERT/UPDATE 权限——不能是通过角色获得的，否则过程运行时报 ORA-00942。
用户没有表权限 ≠ 绝对安全。如果包内拼接动态 SQL 且未绑定变量，或用户意外持有 SELECT ANY TABLE，权限模型就形同虚设。
- 确认包所有者权限来源：
SELECT GRANTEE, PRIVILEGE FROM DBA_TAB_PRIVS WHERE TABLE_NAME = 'EMPLOYEES' AND OWNER = 'HR' - 确保目标用户无任何表级权限：
SELECT * FROM DBA_TAB_PRIVS WHERE GRANTEE = 'APP_USER' - 若包调用
SYS.DBMS_CRYPTO，还需单独授EXECUTE ON SYS.DBMS_CRYPTO，且注意加SYS.前缀调用
