SELECT_CATALOG_ROLE

SELECT_CATALOG_ROLE 是 Oracle 预定义的系统角色，核心作用是授予普通用户查询数据字典（Catalog）的 SELECT 权限，也是 Oracle 推荐的、安全的 “字典查询权限”（替代直接授予 SELECT ANY DICTIONARY 或对 SYS 基表的直接 SELECT 权限）。以下是其具体权限的详细拆解：

一、核心定位

• 归属：由 SYS 用户拥有，仅包含 SELECT 权限（无 DML/DDL/EXECUTE 等修改 / 执行权限）；
• 目标：覆盖 Oracle 核心数据字典视图 / 表的查询权限，让普通用户能访问 DBA_*、V$、GV$ 等高级字典，而非仅能查 USER_*/ALL_* 视图。

二、具体权限范围（按功能分类）

SELECT_CATALOG_ROLE 授予的是对 SYS 模式下核心字典对象的 SELECT 权限，具体涵盖以下类别：

1. 数据库对象元数据（最核心）

可查询所有模式下的对象定义、结构信息，包括：

2. 用户 / 角色 / 权限管理

可查询系统中所有用户、角色、权限的分配信息：

3. 存储与表空间

可查询数据库存储资源的分配、使用情况：

4. 会话 / 性能 / 系统状态

可查询数据库运行时的会话、SQL、锁、性能等信息：

5. 备份 / 恢复

可查询备份、归档、恢复相关的元数据：

6. SYS 基表（底层）

间接授予对 SYS 模式下底层字典基表的 SELECT 权限（普通用户极少直接查询，但角色包含此权限）：

• 如 TAB$（表的底层存储）、COL$（列的底层存储）、OBJ$（对象的底层存储）、USER$（用户的底层存储）等。

三、版本差异（关键）

Oracle 不同版本中，SELECT_CATALOG_ROLE 的权限范围略有调整：

四、重要特点

1. 仅读权限：无任何 INSERT/UPDATE/DELETE/ALTER/DROP 等修改类权限，也无 EXECUTE 权限（仅能查存储过程元数据，不能执行）；
2. 安全替代方案：避免直接授予 SELECT ANY DICTIONARY（更宽泛的系统权限），降低普通用户的权限风险；
3. DBA_ 视图访问*：普通用户默认只能查 USER_*（自己的对象）、ALL_*（有权限的对象），授予该角色后可查 DBA_*（所有对象）；
4. 无管理权限：无法执行 CREATE USER、GRANT、ALTER SYSTEM 等管理操作。

五、如何验证该角色的具体权限

可通过以下 SQL 查询 SELECT_CATALOG_ROLE 被授予的所有具体权限：

-- 1. 查询该角色的对象级权限（对SYS字典表/视图的SELECT权限）
SELECT 
  tp.owner,
  tp.table_name,
  tp.privilege,
  tp.grantable
FROM dba_tab_privs tp
WHERE tp.grantee = 'SELECT_CATALOG_ROLE'
ORDER BY tp.table_name;

-- 2. 查询该角色的系统权限（极少，主要是对象级权限）
SELECT 
  sp.privilege,
  sp.admin_option
FROM dba_sys_privs sp
WHERE sp.grantee = 'SELECT_CATALOG_ROLE';

-- 3. 简化版：统计该角色可访问的字典对象数量
SELECT COUNT(*) AS total_catalog_objects
FROM dba_tab_privs
WHERE grantee = 'SELECT_CATALOG_ROLE'
  AND privilege = 'SELECT';

总结

SELECT_CATALOG_ROLE 是 Oracle 为 “安全查询数据字典” 设计的最小权限角色，涵盖了所有核心字典视图 / 表的 SELECT 权限，满足普通用户（如开发、运维）查询数据库元数据、性能、权限、存储等信息的需求，且无修改类权限，是生产环境中授予字典查询权限的首选。