oracle不支持grant select on all_tables，因其仅为数据字典视图而非可授权对象；必须通过动态sql或角色对具体表显式授权，否则报ora-00942等错误。
不能直接“一键授予所有表查询权”，必须显式授权或借助角色+动态SQL，否则会遇到权限不足、ORA-01031 或对象不存在等错误。
为什么不能用 GRANT SELECT ON ALL_TABLES？
Oracle 没有 ALL_TABLES 这个可授予权限的对象——它只是数据字典视图，不是真实对象。你执行 GRANT SELECT ON ALL_TABLES TO user_a 会立刻报错 ORA-00942: table or view does not exist。真正能被 GRANT 的，必须是具体 Schema 下的具体对象（如 scott.emp）或预定义角色（如 SELECT_CATALOG_ROLE，但该角色不覆盖用户自定义 Schema）。
正确做法：用动态 SQL 生成并执行 GRANT 语句
核心思路是查出目标 Schema（比如 hr）下所有基表（OBJECT_TYPE = 'TABLE' 且非临时表），拼成批量 GRANT SELECT 语句。注意过滤掉物化视图日志、嵌套表等非查询友好对象：
SELECT 'GRANT SELECT ON hr.' || table_name || ' TO target_user;' FROM dba_tables WHERE owner = 'HR' AND nested = 'NO' AND temporary = 'N' AND secondary = 'N';
把结果复制执行，或封装进 PL/SQL 块中自动执行（需具备 EXECUTE 权限及 GRANT ANY OBJECT PRIVILEGE）：
BEGIN
FOR r IN (
SELECT 'GRANT SELECT ON hr.' || table_name || ' TO target_user' stmt
FROM dba_tables
WHERE owner = 'HR'
AND nested = 'NO'
AND temporary = 'N'
AND secondary = 'N'
) LOOP
EXECUTE IMMEDIATE r.stmt;
END LOOP;
END;
常见坑与注意事项
以下几点极易导致授权失败或权限不可用：
- 执行者必须有
SELECT权限且带有GRANT OPTION（如果是从hr用户自己授，需先ALTER USER hr DEFAULT ROLE ALL并确认其有GRANT ANY OBJECT PRIVILEGE） -
dba_tables视图需 DBA 权限；普通用户只能查all_tables，但无法跨 Schema 授权——所以实际操作通常由sys或具有DBA角色的账号完成 - 新创建的表不会自动获得授权，必须重新运行脚本；建议将授权逻辑固化为定期 job 或上线 checklist
- 如果目标 Schema 含同义词、视图或物化视图，
dba_tables不包含它们，需额外处理dba_views和dba_mviews
替代方案：创建只读角色 + 授权
比每次手动生成更可持续的方式是建一个专用角色，比如 hr_readonly_role，然后把所有 GRANT SELECT ON hr.xxx TO ... 绑定到该角色上，最后只给用户授这个角色：
CREATE ROLE hr_readonly_role; -- （接着执行上面的动态 GRANT，目标改为 TO hr_readonly_role） GRANT hr_readonly_role TO target_user;
后续新增表时，只需向该角色追加一条 GRANT SELECT ON hr.new_table TO hr_readonly_role，所有持有该角色的用户自动生效。
真正麻烦的不是写几行 SQL，而是确保授权范围精确（比如排除敏感审计表 hr.audit_log）、权限回收路径清晰、以及开发环境和生产环境策略一致——这些往往比授权动作本身更需要提前设计。
