REVOKE SELECT ANY TABLE不生效的主因是权限通过角色间接授予，需先撤角色而非直接撤系统权限；若为直接授予则立即生效，但须DBA权限且用户会话需重连。
直接执行 REVOKE SELECT ANY TABLE FROM user_name 即可生效，但必须确保执行者有足够权限（如 DBA 角色），且该权限是直接授予的——若通过角色间接获得，需先撤角色或改用 REVOKE 角色。
为什么 REVOKE SELECT ANY TABLE 有时不生效？
常见原因是权限并非直接授给用户，而是通过角色（比如 CONNECT、RESOURCE 或自定义角色）间接赋予。Oracle 不允许通过 REVOKE 撤销角色带来的系统权限，只能撤角色本身或修改角色定义。
- 查来源：
SELECT * FROM dba_sys_privs WHERE grantee = 'USER_NAME' AND privilege = 'SELECT ANY TABLE'—— 若admin_option是NO且grantable是NO，说明是角色间接授予 - 确认角色链：
SELECT granted_role FROM dba_role_privs WHERE grantee = 'USER_NAME'，再查这些角色是否含SELECT ANY TABLE - 若确为角色所带，应优先
REVOKE role_name FROM user_name，而非硬撤系统权限
批量收回多个用户的 SELECT ANY TABLE
不能用单条语句一次 revoke 多个用户，必须逐个执行。但可用动态 SQL 批量生成或执行：
- 生成语句（安全预览）：
SELECT 'REVOKE SELECT ANY TABLE FROM ' || username || ';' FROM dba_users WHERE username IN ('U1','U2','U3') AND username NOT IN (SELECT grantee FROM dba_sys_privs WHERE privilege = 'SELECT ANY TABLE' AND admin_option = 'YES') - 真正执行（需 DBA 权限）：
DECLARE v_sql VARCHAR2(200); BEGIN FOR r IN (SELECT username FROM dba_users WHERE username IN ('U1','U2','U3')) LOOP v_sql := 'REVOKE SELECT ANY TABLE FROM ' || r.username; BEGIN EXECUTE IMMEDIATE v_sql; DBMS_OUTPUT.PUT_LINE('OK: ' || v_sql); EXCEPTION WHEN OTHERS THEN DBMS_OUTPUT.PUT_LINE('FAIL: ' || v_sql || ' -> ' || SQLERRM); END; END LOOP; END; - 注意：若某用户没有该权限，
REVOKE会报ORA-01952，属正常，脚本中已捕获
撤销后用户还能查表？检查这三处
权限回收后仍能查表，大概率不是 REVOKE 失效，而是权限还挂在别处：
- 对象级
SELECT权限仍在：SELECT * FROM dba_tab_privs WHERE grantee = 'USER_NAME' AND privilege = 'SELECT' - 其他角色仍含
SELECT ANY TABLE或更高权限（如DBA）：SELECT granted_role FROM dba_role_privs WHERE grantee = 'USER_NAME' - 当前会话未重连：Oracle 权限变更对新会话立即生效，但旧连接可能缓存权限状态；建议让应用重连或用户手动
CONNECT重试
最易被忽略的是：SELECT ANY TABLE 常被包含在预定义角色里（比如老旧部署中 RESOURCE 被误加了该权限），只 revoke 系统权限而不清理角色，等于没动根源。
