pl/sql块中直接写grant会报ora-06550，因grant属ddl语句，编译器不识别，必须用execute immediate动态执行，且调用者须具备对应管理权限（如with grant option）及显式授权。
Oracle 中不能在 PL/SQL 块里直接写 GRANT 或 REVOKE 语句执行权限操作——它们不是 PL/SQL 语句，而是 DDL，必须通过动态 SQL 执行。
为什么 PL/SQL 块里写 GRANT 会报错 ORA-06550？
因为 GRANT 和 REVOKE 属于数据定义语言（DDL），而 PL/SQL 过程/匿名块只允许嵌入 DML（如 SELECT、INSERT）和部分 DDL 的封装调用。直接写会触发编译错误：
PLS-00103: Encountered the symbol "GRANT"- 根本原因：PL/SQL 编译器不识别
GRANT为合法语句关键字 - 即使加了
EXECUTE IMMEDIATE包裹，也必须确保当前用户拥有GRANT权限本身（比如被授予了WITH ADMIN OPTION）
如何在 PL/SQL 中安全执行 GRANT 和 REVOKE？
唯一可行方式是使用 EXECUTE IMMEDIATE 调用动态 SQL，并严格校验输入参数防止注入或越权。
- 必须用字符串拼接完整语句，例如：
EXECUTE IMMEDIATE 'GRANT SELECT ON scott.emp TO hr'; - 对象名、用户名不能直接拼接变量——应使用
DBMS_ASSERT.SQL_OBJECT_NAME和DBMS_ASSERT.ENQUOTE_NAME校验 - 权限类型（如
SELECT）建议从白名单中选取，避免传入任意字符串 - 若需批量授权，循环内每次调用
EXECUTE IMMEDIATE，不要拼成一条含多个GRANT的长字符串（Oracle 不支持分号分隔的多条 DDL）
REVOKE 在 PL/SQL 中执行时容易忽略的级联风险
Oracle 的 REVOKE 默认不带 CASCADE CONSTRAINTS 或类似 PostgreSQL 的 CASCADE 选项；它只撤销显式授予的权限，但有两个关键例外：
- 如果被撤销的是带
WITH ADMIN OPTION授予的系统权限（如CREATE TABLE），且该用户曾用此权限再授给他人，则REVOKE后，那些“下游”权限**不会自动失效**——Oracle 不做级联清理 - 表级对象权限（如
SELECT ON emp）被REVOKE后，依赖它的视图或存储过程可能仍能编译通过，但在运行时抛出ORA-00942: table or view does not exist或ORA-01031: insufficient privileges - 务必在
REVOKE后用SELECT * FROM dba_tab_privs WHERE grantee = 'USER_NAME'验证是否真正清除
权限生效延迟与会话隔离问题
在 PL/SQL 中成功执行 EXECUTE IMMEDIATE 'GRANT ...' 并不意味着当前会话立刻能访问新权限对象。
- 新授予的对象权限（如
SELECT ON scott.emp）对当前 PL/SQL 会话**不可见**，除非重新打开游标或重新解析 SQL（比如用OPEN cur FOR 'SELECT * FROM scott.emp'） - 系统权限（如
CREATE SESSION）授予后，当前会话仍无法立即建表，必须断开重连 - 若 PL/SQL 是在某个角色（如
APP_DEVELOPER）下运行，而该角色未被SET ROLE激活，则即便已授予权限，执行时仍报ORA-01031
最易被忽略的一点：动态执行 GRANT/REVOKE 的账号，必须自身拥有对应权限的“管理权”。例如，想用 PL/SQL 给别人授 SELECT，自己得有 SELECT ANY TABLE 或该表上的 SELECT WITH GRANT OPTION——否则 EXECUTE IMMEDIATE 会直接报 ORA-01031，而不是等到运行时才失败。
