如何在Oracle中优雅地创建只读查询业务用户-Oracle-PHP中文网

oracle 23ai/26ai起，pdb本地用户可用alter user ... read only实现会话级只读控制，禁写但保读、不改权限，需在目标pdb执行且查dba_users.read_only确认状态。

如何在oracle中优雅地创建只读查询业务用户

直接用 `ALTER USER ... READ ONLY` 是最省事的方案

Oracle 23ai/26ai 起，PDB 本地用户支持原生命令级只读标记。它不依赖权限回收、不改角色、不碰对象授权，只要执行：ALTER USER app_user READ ONLY;，该用户后续所有会话就自动禁止写操作——INSERT、UPDATE、DELETE、CREATE TABLE 全部报 ORA-28194: Can perform read operations only，但 SELECT 照常执行，原有所有权限（包括 DBA 角色）依然保留在数据字典里。

关键点在于：这个开关是会话级生效的，且仅作用于被标记的 PDB 本地用户；CDB 公共用户、其他 PDB 用户、甚至同一 PDB 内未被标记的账号完全不受影响。

容易踩的坑：

误以为 READ ONLY 是权限状态——其实它是运行时策略，查 DBA_USERS.READ_ONLY 字段才能确认当前是否启用
在 CDB$ROOT 下执行该语句会报错，必须连到目标 PDB 再操作
用户已存在且有密码过期策略时，READ ONLY 不会绕过密码验证，登录仍需有效凭证

批量授予指定 Schema 所有表的 `SELECT` 权限要避开 `SELECT ANY TABLE`

如果还在用 23ai 之前的老版本，或需要兼容更广的 Oracle 版本，就得走传统授权路径。但别直接授 SELECT ANY TABLE——它允许查所有 Schema 的所有表，权限过大，审计风险高，且无法限制到某一个业务 Schema。

正确做法是动态生成授权语句：

SELECT 'GRANT SELECT ON ' || owner || '.' || table_name || ' TO readonly_user;'
FROM dba_tables
WHERE owner = 'APP_SCHEMA' AND temporary = 'N';

执行结果粘贴后批量运行即可。注意两点：

QuantOracle

63个确定性量化金融计算器 + 10个通过MCP的复合工作流。期权定价、Greeks、奇异衍生品、风险指标、投资组合优化……

下载

dba_tables 需 DBA 权限；若用 all_tables，得确保当前用户有对应对象的 SELECT 权限，否则漏表
视图、同义词、物化视图等非表对象不会被包含，如需支持，得额外加 dba_views、dba_synonyms 查询
表名含特殊字符（如双引号包裹）时，生成的语句可能语法错误，建议先过滤 object_name NOT LIKE '%"%'

同义词不是可选项，而是可用性刚需

只授 SELECT ON app_schema.t1 后，用户必须写 SELECT * FROM app_schema.t1 才能查——这对应用很不友好，尤其 ORM 或报表工具默认不带 Schema 前缀。

所以得配同义词：

CREATE OR REPLACE SYNONYM readonly_user.t1 FOR app_schema.t1;

同样推荐批量生成：

SELECT 'CREATE OR REPLACE SYNONYM readonly_user.' || table_name || ' FOR app_schema.' || table_name || ';'
FROM dba_tables
WHERE owner = 'APP_SCHEMA';

注意：