如何撤销Oracle RDS中由rdsadmin.rdsadmin_util.grant_sys_object()授予的权限？

我之前也踩过这个坑——AWS RDS Oracle只提供了授予SYS对象权限的存储过程，却没有对应的撤销接口，直接用默认REVOKE还会报错。下面是我验证过的可行解决方法：

1. 使用标准REVOKE命令，但指定完整的SYS对象路径 #

绝大多数情况下，报错是因为你没有明确指定SYS作为对象的所有者。比如你之前用存储过程授权的是V_$SESSION，实际这个对象属于SYS用户，撤销时必须加上前缀才能匹配到对应的权限记录。

示例操作： #

• 先执行的授权命令：

EXEC rdsadmin.rdsadmin_util.grant_sys_object('SELECT', 'V_$SESSION', 'MY_APP_USER');

• 对应的撤销命令（必须带SYS前缀）：

REVOKE SELECT ON SYS.V_$SESSION FROM MY_APP_USER;

注意：很多常用的动态性能视图（比如V$SESSION）是SYS.V_$SESSION的公共同义词，所以必须明确指定SYS.前缀才能正确撤销权限。

2. 确认你拥有足够的撤销权限 #

要执行撤销操作，你的用户需要具备GRANT ANY OBJECT PRIVILEGE权限（RDS的主用户默认会拥有这个权限，但如果是子用户可能需要额外授权）。如果遇到权限不足的报错，可以先给当前用户授权：

GRANT GRANT ANY OBJECT PRIVILEGE TO YOUR_ADMIN_USER;

3. 验证权限是否已成功撤销 #

执行完撤销命令后，可以通过查询数据字典确认权限是否移除：

SELECT grantee, privilege, table_name, owner
FROM dba_tab_privs
WHERE grantee = 'MY_APP_USER' AND table_name = 'V_$SESSION';

如果查询结果为空，说明权限已成功撤销。

补充说明：为什么直接用REVOKE SELECT ON V$SESSION FROM ...会报错？ #

因为V$SESSION只是一个公共同义词，不是实际的数据库对象。当你用rdsadmin.rdsadmin_util.grant_sys_object授权时，实际是给SYS下的基对象（比如V_$SESSION）授予权限，所以撤销时必须指向这个基对象，而不是同义词。

内容的提问来源于stack exchange，提问作者Nader Sharara