Oracle如何授予包/存储过程/函数调试权限且不允许修改代码

出现授予调试权限后附带修改权限的问题，核心原因是使用了全局级的调试权限，或账号额外被授予了对象修改类权限，可按照以下步骤配置最小粒度的调试权限，避免越权修改代码：

1. 先收回已授予的高风险全局权限 #

首先清理之前授予的全局调试权限，避免权限范围过大：

-- 替换<开发账号>为实际需要授权的用户名
REVOKE DEBUG ANY PROCEDURE FROM <开发账号>;

注意：DEBUG ANY PROCEDURE属于全局权限，允许用户调试数据库所有schema下的PL/SQL对象，本身不会直接授予修改权限，问题大多出在账号同时被授予了ALTER ANY PROCEDURE这类修改类全局权限，或属于高权限角色。

2. 授予最小范围的必要权限 #

首先授予基础的调试会话权限，该权限仅允许用户发起调试会话，不会涉及对象修改权限：

GRANT DEBUG CONNECT SESSION TO <开发账号>;

再针对需要调试的具体对象授予对象级调试权限，该权限仅允许对指定对象下断点、查看运行时变量、单步执行，不会附带任何修改权限：

-- 单个对象授权，替换对应占位符即可
GRANT DEBUG ON <schema名>.<package名> TO <开发账号>;
GRANT DEBUG ON <schema名>.<procedure名> TO <开发账号>;
GRANT DEBUG ON <schema名>.<function名> TO <开发账号>;

-- 如需给指定schema下所有PL/SQL对象批量开调试权限，执行以下语句
BEGIN
  FOR obj IN (
    SELECT object_name 
    FROM all_objects 
    WHERE owner = '<目标schema名>' 
      AND object_type IN ('PACKAGE', 'PACKAGE BODY', 'PROCEDURE', 'FUNCTION')
  ) LOOP
    EXECUTE IMMEDIATE 'GRANT DEBUG ON <目标schema名>.'||obj.object_name||' TO <开发账号>';
  END LOOP;
END;
/

3. 验证权限配置有效性 #

执行以下语句确认账号没有多余的修改类权限：

-- 查看系统级权限，确认没有ALTER ANY PROCEDURE、CREATE ANY PROCEDURE、DROP ANY PROCEDURE这类权限
SELECT privilege FROM dba_sys_privs WHERE grantee = '<开发账号>';

-- 查看对象级权限，确认仅保留DEBUG、必要的EXECUTE权限，无ALTER等修改权限
SELECT privilege, owner, table_name FROM dba_tab_privs WHERE grantee = '<开发账号>';

额外注意：不要将开发账号加入DBA、RESOURCE这类高权限角色，RESOURCE角色默认携带CREATE PROCEDURE权限，允许用户修改自己schema下的所有PL/SQL对象。

内容的提问来源于stack exchange，提问作者ali yousef