Common用户无法在PDB中删除或禁用，因其仅能在CDB$ROOT中通过CONTAINER=ALL子句执行DROP USER或ALTER USER ... ACCOUNT LOCK操作；在PDB中执行此类操作将报ORA-65048错误。
Common 用户在 PDB 中为什么不能被删除或禁用
common 用户（如 c##admin）是在 cdb 根容器中创建、以 c## 或其他指定前缀开头、且带有 container=all 的用户。它们自动存在于所有 pdb 中，但**无法在 pdb 级别单独删除、锁定或修改密码**——任何这类操作都会报错 ora-65048: error encountered when processing the current ddl statement in pluggable database。
真正能控制其行为的只有 CDB$ROOT 中的 DROP USER 或 ALTER USER ... ACCOUNT LOCK，而且必须加 CONTAINER=ALL 才生效。
- 在 PDB 中执行
ALTER USER c##foo ACCOUNT LOCK→ 报ORA-65048 - 在 CDB$ROOT 中执行
ALTER USER c##foo ACCOUNT LOCK CONTAINER=ALL→ 成功，所有 PDB 中该用户均被锁 - 想让某个 PDB “看不见” Common 用户？做不到。它始终存在，只是权限受限
Local 用户在 PDB 中如何创建与权限隔离
Local 用户只存在于当前 PDB，名字不能带 C## 前缀，在 CDB$ROOT 中查不到，也完全不受 CDB 级策略影响。这是实现“PDB 级账号隔离”的实际手段。
创建时务必显式指定 CONTAINER=CURRENT（虽然默认就是，但写明更防误）：
CREATE USER app_user IDENTIFIED BY pwd123 CONTAINER=CURRENT;
接着只授予该 PDB 内需要的权限，例如：
GRANT CREATE SESSION, CREATE TABLE TO app_user;- 避免
GRANT DBA TO app_user—— 这会让 Local 用户意外获得跨容器能力（如果 DBA 角色含SET CONTAINER权限） - 检查角色是否含
INHERIT PRIVILEGES ON USER，否则 Local 用户可能通过被授权者间接访问其他 PDB 对象
限制 Common 用户在特定 PDB 中的权限：靠角色 + 条件性授权
不能删、不能锁（除非全局锁），那怎么限制它在某个 PDB 里“干不了事”？答案是：不给权限，且确保它没被隐式授予高危角色。
Common 用户默认只有 CREATE SESSION，但若 DBA 曾在 CDB$ROOT 中执行过类似 GRANT CONNECT TO c##foo CONTAINER=ALL，那它在所有 PDB 都有 CONNECT 角色——而该角色在 12.2+ 默认含 CREATE VIEW、CREATE SYNONYM 等。
- 查清它在当前 PDB 实际有哪些权限：
SELECT * FROM SESSION_PRIVS;和SELECT * FROM ROLE_ROLE_PRIVS WHERE ROLE='CONNECT'; - 若不需要，可在 CDB$ROOT 中回收：
REVOKE CONNECT FROM c##foo CONTAINER=ALL; - 不要依赖 PDB 中的
REVOKE—— 会报ORA-65048 - 特别注意：
GRANT UNLIMITED TABLESPACE TO c##foo CONTAINER=ALL会让它在每个 PDB 都能无节制建对象，务必按需收回
PDB 级密码策略与账户状态：Common 用户不适用
PDB 可以设置自己的密码复杂度策略（SEC_CASE_SENSITIVE_LOGON、PASSWORD_VERIFY_FUNCTION 等），但这些**对 Common 用户无效**。它的密码规则、过期时间、失败登录锁定等，全部由 CDB$ROOT 的 PROFILE 控制。
比如你在 PDB 中执行：
ALTER PROFILE default LIMIT FAILED_LOGIN_ATTEMPTS 3;
这个限制只作用于 Local 用户；C##ADMIN 的失败次数仍走 CDB$ROOT 的 profile 设置。
- 查 Common 用户用哪个 profile：
SELECT username, profile FROM dba_users WHERE username LIKE 'C##%';→ 看到的是 CDB$ROOT 中定义的 profile 名 - 改 profile 必须在 CDB$ROOT 中做，且加
CONTAINER=ALL才同步到所有 PDB - Local 用户可以用 PDB 自己的 profile，且可独立设
ALTER PROFILE pdb_profile ...;
CDB 和 PDB 的用户模型不是“父子继承”，而是“全局声明 + 局部不可见修改”。Common 用户的管控点永远在 CDB$ROOT，任何想在 PDB 里“单独处理”它的尝试，基本都会撞上 ORA-65048。真正可控的，只有 Local 用户的生命周期和权限粒度。
