Oracle 18c XE中UTL_MAIL报ORA-24247错误排查求助

看起来你已经做了不少基础排查，但ORA-24247这个错误还是挺棘手的，尤其是升级后出现的权限/ACL问题。结合Oracle 18c的安全特性，我给你梳理几个更深入的排查方向和可能的解决方案：

• 重新确认UTL_MAIL的直接执行权限
  虽然你提到已经授予必要权限，但要注意：定时任务执行时通常不会启用角色权限。先检查DBUSER是否拥有直接授予的UTL_MAIL执行权限：

  SELECT * FROM USER_TAB_PRIVS WHERE TABLE_NAME = 'UTL_MAIL';
  

  如果结果为空或者权限是通过角色授予的，直接执行以下语句重新授予：

  GRANT EXECUTE ON UTL_MAIL TO DBUSER;
  

• 验证ACE配置的精确匹配性
  你的ACE规则里指定了IP和端口，但Oracle的ACL规则是严格匹配的：

  • 确认SMTP服务器的实际IP就是10.193.n.n，如果服务器用的是主机名（比如mailserver.de），ACE里的HOST字段要填对应的主机名，或者用通配符（比如*.mailserver.de，注意安全风险）。
  • 检查SMTP服务器是否确实监听587端口，有些服务器可能默认用25或者465，端口不匹配会直接触发ORA-24247。
  • 确认ACE的PRIVILEGE字段是SMTP（Oracle不区分大小写，但最好和系统默认写法一致），没有拼写错误。

• 排查冲突的ACE规则
  ACE规则是按ACE_ORDER顺序执行的，如果存在优先级更高的拒绝规则，会覆盖你的允许规则。执行以下查询检查所有相关规则：

  SELECT * FROM DBA_HOST_ACES 
  WHERE PRINCIPAL = 'DBUSER' OR PRINCIPAL_TYPE = 'PUBLIC'
  ORDER BY ACE_ORDER;
  

  如果发现GRANT_TYPE = 'DENY'的规则排在你的允许规则前面，要么删除该拒绝规则，要么调整ACE_ORDER让允许规则优先级更高。

• 测试DBUSER的网络连通性
  有时候问题不在Oracle的ACL，而是网络层面的限制。用DBUSER执行以下UTL_TCP测试，验证能否连接到SMTP服务器的587端口：

  DECLARE
    l_socket UTL_TCP.SOCKET;
  BEGIN
    l_socket := UTL_TCP.OPEN_CONNECTION('10.193.n.n', 587);
    UTL_TCP.CLOSE_CONNECTION(l_socket);
    DBMS_OUTPUT.PUT_LINE('Connection successful');
  EXCEPTION
    WHEN OTHERS THEN
      DBMS_OUTPUT.PUT_LINE('Connection failed: ' || SQLERRM);
  END;
  /
  

  如果测试失败，说明数据库服务器到SMTP服务器的网络存在阻塞（比如防火墙限制、SMTP服务器IP白名单），需要联系网络管理员排查。

• 检查Oracle 18c的安全增强设置
  18c比11g有更严格的安全控制，几个关键点要确认：

  • 确认SMTP_OUT_SERVER参数设置正确，且DBUSER能读取到该参数：

    SELECT VALUE FROM V$PARAMETER WHERE NAME = 'smtp_out_server';
    

    有些场景下参数是按会话级设置的，要确保定时任务执行时的会话能获取到正确的SMTP地址。
  • 如果你的环境启用了Oracle Database Vault，检查是否有安全策略限制了DBUSER的网络访问权限。
  • 查看审计日志，确认是否有审计规则阻止了DBUSER调用UTL_MAIL。

• 检查定时任务的执行上下文
  既然问题出在定时任务上，要确认：

  • 定时任务确实是以DBUSER身份执行的（查看任务的OWNER和USER_NAME字段）。
  • 任务处于ENABLED状态，执行时间配置正确。
  • 可以在定时任务中添加日志逻辑（比如写入一张日志表），记录执行时的错误信息和会话参数，帮助定位上下文差异。

• 重新编译UTL_MAIL包
  数据库升级后，部分系统包可能出现失效情况。用SYS用户执行以下语句重新编译UTL_MAIL包：

  ALTER PACKAGE UTL_MAIL COMPILE BODY;
  

  编译完成后再让DBUSER测试邮件发送。

内容的提问来源于stack exchange，提问作者Chris