Oracle数据库中如何撤销用户的ALTER TABLE相关权限？

问题原因 #

你执行REVOKE语句报错的核心原因是：Oracle中对象的所有者默认拥有对应对象的所有操作权限（包括ALTER、DROP、修改数据等），这类权限是数据库隐式赋予的，不属于通过GRANT语句授予的显式权限，所以无法通过REVOKE语句回收。

第一步：排查权限来源 #

先执行以下语句确认该用户是否持有其他显式授予的ALTER相关权限：

• 查看系统权限：
  SELECT * FROM DBA_SYS_PRIVS WHERE GRANTEE = '替换为你的目标用户名';
• 查看角色继承权限：
  SELECT * FROM DBA_ROLE_PRIVS WHERE GRANTEE = '替换为你的目标用户名';
• 查看其他用户授予的对象权限：
  SELECT * FROM DBA_TAB_PRIVS WHERE GRANTEE = '替换为你的目标用户名';
  如果查询结果中没有ALTER ANY TABLE之类的系统权限，也没有其他用户显式授予的ALTER对象权限，就可以确定是上文提到的所有者隐式权限问题。

可选解决方案 #

方案1：调整对象所有权（最推荐） #

将该用户名下的所有业务对象迁移到独立的业务Schema中，仅给该用户授予对应对象的必要权限（如SELECT、INSERT等，不要包含ALTER），取消该用户对任何业务对象的所有权，即可彻底移除其ALTER权限。

方案2：用DDL触发器拦截ALTER操作 #

如果无法调整对象所属Schema，可以创建数据库级DDL触发器，直接拦截该用户的所有ALTER操作，示例代码如下：

CREATE OR REPLACE TRIGGER block_alter_for_specified_user
BEFORE ALTER ON DATABASE
BEGIN
  -- 替换为你要限制的用户名，Oracle用户名默认大写
  IF USER = 'TARGET_USER' THEN
    RAISE_APPLICATION_ERROR(-20001, '当前用户无权限执行ALTER操作');
  END IF;
END;
/

触发器创建后，对应用户发起的所有ALTER请求都会被直接拦截并报错。

内容的提问来源于stack exchange，提问作者Luis Alberto Gonzalez Diaz