在 Debian 上使用 sqlplus 的权限管理实践
一、权限模型与最小权限原则
- 区分两层权限：
- 操作系统层：谁能执行 sqlplus 二进制、访问 Oracle 安装目录与共享内存等资源。
- 数据库层：数据库用户能否登录、能否执行 DDL/DML、能否访问其他Schema的对象。
- 最小权限原则：只为应用或人员授予完成任务所需的最小权限，避免滥用高权限角色（如 DBA）。
- 角色与系统权限：
- CONNECT 角色通常包含登录所需的 CREATE SESSION。
- RESOURCE 角色包含常用对象创建权限（如 CREATE TABLE 等）。
- 在 Oracle 12c 及以后，普通用户默认无表空间配额，需要显式授予配额或 UNLIMITED TABLESPACE（谨慎）。
- 系统权限与对象权限分离；系统权限/角色授予遵循 WITH ADMIN OPTION，对象权限遵循 WITH GRANT OPTION 的级联回收规则。
二、操作系统层权限配置
- 安装与路径：确保 Oracle Instant Client/数据库客户端已安装，并将 $ORACLE_HOME/bin 加入 PATH，以便各用户能直接执行 sqlplus。
- 用户与组：将需要运行 sqlplus 的系统用户加入 oinstall（及 dba，如需本地 OS 认证以 SYSDBA 身份登录），并确保对 $ORACLE_HOME 及子目录具有合适的读/执行权限。
- 共享内存与 IPC：若非 oracle 用户执行 sqlplus 出现共享内存错误（如 ORA-27121: unable to determine size of shared memory segment），说明对 Oracle 的 IPC/SHM 资源访问受限。应通过将用户加入 dba/oinstall 组并正确设置目录权限解决，避免使用 chmod +s oracle 这类粗暴做法。
- 提权方式：不建议以 root 直接运行 sqlplus；如确需提升权限，使用 sudo 按需授权，例如仅允许特定用户以特定 Oracle 账户执行 sqlplus。
三、数据库层权限配置
- 创建用户与登录：
- 创建用户并设置口令：
CREATE USER appuser IDENTIFIED BY <pwd>;
- 允许登录：
GRANT CREATE SESSION TO appuser;（或直接授予 CONNECT 角色）
- 典型开发与只读场景：
- 开发用户：
GRANT CONNECT, RESOURCE TO appdev;；在 12c+ 还需配额：ALTER USER appdev QUOTA UNLIMITED ON users;（或指定表空间与配额）
- 只读用户：
GRANT CONNECT TO appro;，再对所需表授予 SELECT：GRANT SELECT ON schema.table TO appro;
- 跨 Schema 与更高权限：
- 跨用户访问对象：在对象拥有者下执行
GRANT SELECT ON schema.table TO appro;
- 谨慎授予系统级权限（如 CREATE ANY TABLE、SELECT ANY TABLE）或 DBA 角色，仅在确有必要时使用。
四、常用授权与回收命令清单
- 登录与基础：
- 登录：
sqlplus appuser/<pwd> 或 sqlplus / as sysdba（OS 认证，要求用户属于 dba 组）
- 创建用户：
CREATE USER u IDENTIFIED BY p;
- 允许登录：
GRANT CREATE SESSION TO u;（或 GRANT CONNECT TO u;）
- 开发与资源：
- 授予开发权限：
GRANT CONNECT, RESOURCE TO u;
- 配额（12c+）：
ALTER USER u QUOTA UNLIMITED ON users;
- 对象权限：
- 授予查询：
GRANT SELECT ON schema.t TO u;
- 授予列级更新：
GRANT UPDATE (col1,col2) ON schema.t TO u;
- 级联授权：
GRANT SELECT ON schema.t TO u WITH GRANT OPTION;
- 回收与审计：
- 回收权限：
REVOKE SELECT ON schema.t FROM u;
- 查看当前会话权限：
SELECT * FROM SESSION_PRIVS;
- 查看角色权限：
SELECT * FROM ROLE_SYS_PRIVS WHERE ROLE='CONNECT';
- 安全建议：
- 避免使用 GRANT DBA；优先使用最小权限 + 自定义角色。
- 对生产对象慎用 WITH GRANT OPTION；对系统权限慎用 WITH ADMIN OPTION。
五、排错要点
- 登录被拒提示 ORA-01034/ORA-27121：多为 OS 层权限不足（共享内存/IPC、目录权限）。将运行用户加入 dba/oinstall，修正 $ORACLE_HOME 权限，避免使用 chmod +s oracle 的全局 suid 做法。
- 命令未找到：检查 PATH 是否包含 $ORACLE_HOME/bin，或使用绝对路径执行（如 /opt/oracle/client/bin/sqlplus）。
- 新建用户无法登录：缺少 CREATE SESSION，授予
GRANT CONNECT 或 GRANT CREATE SESSION 即可。
- 12c+ 无法建表：缺少表空间配额，执行
ALTER USER <u> QUOTA UNLIMITED ON <tablespace>;。