能，ddl触发器可通过before alter事件拦截alter procedure，但需建在目标模式下并配合before create监听create or replace；精准禁止须硬编码比对sys.dictionary_obj_owner与obj_name，避免查数据字典或使用upper()。
DDL触发器能拦截ALTER PROCEDURE吗？
能，但必须用 BEFORE ALTER 事件 + 明确指定 ON SCHEMA 或 ON DATABASE，且触发器需建在目标用户模式下。Oracle 将 ALTER PROCEDURE 归类为 DDL 事件，会触发对应触发器；但注意，CREATE OR REPLACE PROCEDURE 属于 CREATE 事件，不是 ALTER，两者要分开写。
为什么写了BEFORE ALTER却拦不住CREATE OR REPLACE？
因为这是两个独立的 DDL 事件：CREATE OR REPLACE 触发的是 CREATE 事件（即使对象已存在），而 ALTER PROCEDURE ... COMPILE 才走 ALTER。常见误判就在这里——只监听 ALTER，结果开发用 CREATE OR REPLACE 一键覆盖。
- 正确做法是同时监听
BEFORE CREATE OR BEFORE ALTER - 再通过
SYS.DICTIONARY_OBJ_TYPE = 'PROCEDURE'过滤对象类型 - 用
SYS.DICTIONARY_OBJ_NAME判断具体过程名，避免误拦函数或包
如何精准禁止修改特定存储过程？
靠硬编码判断比查数据字典更可靠：触发器运行时，SYS.DICTIONARY_OBJ_OWNER 和 SYS.DICTIONARY_OBJ_NAME 已就绪，直接比对即可。不要在触发器里查 ALL_SOURCE 或 DBA_PROCEDURES——既慢又可能因权限或上下文错乱抛 ORA-00604。
- 示例逻辑：
IF SYS.DICTIONARY_OBJ_OWNER = 'HR' AND SYS.DICTIONARY_OBJ_NAME IN ('CALC_SALARY', 'VALIDATE_EMP') THEN RAISE_APPLICATION_ERROR(-20002, '禁止修改核心存储过程：' || SYS.DICTIONARY_OBJ_NAME); END IF; - 别用
UPPER()包裹SYS.DICTIONARY_OBJ_NAME——Oracle 默认对象名大写，但若开发显式用双引号建了小写名（如"calc_salary"），UPPER()会导致匹配失败 - 触发器必须建在
HR模式下（CREATE OR REPLACE TRIGGER ... ON HR.SCHEMA），建在SYS下不会自动代理执行
容易被忽略的权限与行为细节
即使触发器生效，高权限账号仍可能绕过：拥有 ADMINISTER DATABASE TRIGGER 的用户可禁用该触发器；DBA 角色用户执行 ALTER PROCEDURE ... COMPILE DEBUG 可能跳过部分校验；更隐蔽的是，GRANT EXECUTE ON proc TO public 后，任何人都能调用，但修改权仍受触发器约束——这点常被误认为“权限没控住”。
- 务必回收开发账号的
CREATE ANY PROCEDURE和ALTER ANY PROCEDURE权限，只保留CREATE PROCEDURE（本 schema） - 触发器中禁止调用
DBMS_DDL.ALTER_COMPILE或EXECUTE IMMEDIATE——BEFORE 事件里执行 DDL 会引发ORA-30511 - 测试时用非 DBA 账号执行，且确认该账号没有隐式继承的
ALTER ANY PROCEDURE（查ROLE_SYS_PRIVS）
