Oracle（92）如何撤销权限（Revoke）？

在Oracle数据库中，撤销权限（Revoke）是数据库管理员（DBA）管理用户权限的重要操作。撤销权限可以确保数据库的安全性和权限的最小化原则，即用户仅拥有执行其任务所需的最少权限。

撤销权限的类型

与授予权限类似，撤销权限也分为系统权限和对象权限：

• 系统权限：撤销用户执行特定数据库操作的权限。
• 对象权限：撤销用户对特定的数据库对象（如表、视图、序列等）的权限。

撤销系统权限

系统权限允许用户执行数据库级别的操作。以下是撤销系统权限的详细步骤和代码示例。

1. 连接到数据库

首先，以具有管理员权限的用户（如SYS或SYSTEM）连接到Oracle数据库。

-- 使用SQL*Plus连接到数据库
sqlplus sys as sysdba
-- 或者使用其他工具如SQL Developer连接

2. 撤销系统权限

使用REVOKE语句撤销系统权限。例如，撤销用户创建会话、创建表和创建视图的权限。

-- 撤销CREATE SESSION权限（不允许用户连接到数据库）
REVOKE CREATE SESSION FROM my_user;

-- 撤销CREATE TABLE权限（不允许用户创建表）
REVOKE CREATE TABLE FROM my_user;

-- 撤销CREATE VIEW权限（不允许用户创建视图）
REVOKE CREATE VIEW FROM my_user;

撤销对象权限

对象权限允许用户对特定的数据库对象执行操作。以下是撤销对象权限的详细步骤和代码示例。

1. 撤销表的对象权限

撤销用户对表的SELECT、INSERT、UPDATE、DELETE权限。

-- 撤销SELECT权限（不允许用户查询表）
REVOKE SELECT ON my_schema.my_table FROM my_user;

-- 撤销INSERT权限（不允许用户插入数据）
REVOKE INSERT ON my_schema.my_table FROM my_user;

-- 撤销UPDATE权限（不允许用户更新数据）
REVOKE UPDATE ON my_schema.my_table FROM my_user;

-- 撤销DELETE权限（不允许用户删除数据）
REVOKE DELETE ON my_schema.my_table FROM my_user;

2. 撤销视图的对象权限

撤销用户对视图的SELECT权限。

-- 撤销SELECT权限（不允许用户查询视图）
REVOKE SELECT ON my_schema.my_view FROM my_user;

3. 撤销序列的对象权限

撤销用户对序列的SELECT和ALTER权限。

-- 撤销SELECT权限（不允许用户查询序列的当前值）
REVOKE SELECT ON my_schema.my_sequence FROM my_user;

-- 撤销ALTER权限（不允许用户修改序列的属性）
REVOKE ALTER ON my_schema.my_sequence FROM my_user;

撤销角色

角色是权限的集合，可以将多个权限分配给一个角色，然后将角色授予用户。撤销角色可以简化权限管理。

1. 撤销角色

使用REVOKE语句撤销用户的角色。

-- 撤销角色
REVOKE my_role FROM my_user;

示例脚本

以下是一个完整的示例脚本，展示如何撤销权限和角色。

-- 连接到数据库
-- sqlplus sys as sysdba

-- 撤销系统权限
REVOKE CREATE SESSION FROM my_user;
REVOKE CREATE TABLE FROM my_user;
REVOKE CREATE VIEW FROM my_user;

-- 撤销对象权限
REVOKE SELECT, INSERT, UPDATE, DELETE ON my_schema.my_table FROM my_user;
REVOKE SELECT ON my_schema.my_view FROM my_user;
REVOKE SELECT, ALTER ON my_schema.my_sequence FROM my_user;

-- 撤销角色
REVOKE my_role FROM my_user;

-- 确认用户的权限
SELECT * FROM dba_sys_privs WHERE grantee = 'MY_USER';
SELECT * FROM dba_tab_privs WHERE grantee = 'MY_USER';
SELECT * FROM dba_role_privs WHERE grantee = 'MY_USER';

验证撤销权限

为了验证撤销的权限是否生效，可以使用被撤销权限的用户凭据连接到数据库并尝试执行一些操作。

-- 使用新用户连接到数据库
sqlplus my_user/my_password@your_database

-- 尝试创建一个表（应该失败）
CREATE TABLE test_table (id NUMBER, name VARCHAR2(50));

-- 尝试查询具有SELECT权限的表（应该失败）
SELECT * FROM my_schema.my_table;

-- 尝试插入数据（应该失败）
INSERT INTO my_schema.my_table (id, name) VALUES (1, 'Test Name');

总结

撤销权限是Oracle数据库管理中的一个关键操作。通过上述步骤和代码示例，你可以系统地撤销用户的系统权限和对象权限，确保数据库系统的安全性和权限的最小化原则。定期审查和管理用户权限，可以确保数据库系统的安全性和高效运行。