Oracle 11g怎么查询角色的包含关系_利用ROLE_ROLE

因为role_role_privs仅记录角色间授予关系（如r1→r2），不关联用户；查用户完整角色链需联合dba_role_privs与role_role_privs，用start with...connect by递归查询，并注意grantee/granted_role语义对齐及default_role状态。

为什么只查 role_role_privs 查不出用户实际拥有的嵌套角色

因为 role_role_privs 只存角色之间的授予关系（比如 r1 → r2），完全不涉及用户。它像一张“角色关系图”，但没有起点——你不知道哪个用户站在图的哪个入口。常见错误是：看到 select * from role_role_privs where role = 'r1' 返回了 r2，就以为用户自动有了 r2；其实前提是该用户必须先被直接授予了 r1，否则这条链根本走不通。

怎么从用户出发查完整角色链（Oracle 11g 兼容写法）

Oracle 11g 不支持 WITH RECURSIVE，必须用 START WITH ... CONNECT BY。关键不是查 ROLE_ROLE_PRIVS 本身，而是把它和 DBA_ROLE_PRIVS 联合起来构建递归路径：

START WITH 从用户开始：找所有 grantee = 'USER_A' 的直接角色
CONNECT BY PRIOR granted_role = grantee 表示“上一层授出的角色，是下一层的被授方”，这样才能顺着 R1 → R2 → R3 往下钻
必须加 DISTINCT，否则多条路径（如 R1→R3 和 R2→R3）会让 R3 重复出现
漏掉 NOCYCLE 在测试环境容易触发 ORA-01436: CONNECT BY loop in user data，尤其当存在 R1→R2→R1 这类循环授权时

实操语句：

SELECT DISTINCT granted_role
FROM (
  SELECT grantee, granted_role FROM DBA_ROLE_PRIVS
  UNION ALL
  SELECT role AS grantee, granted_role FROM ROLE_ROLE_PRIVS
)
START WITH grantee = 'USER_A'
CONNECT BY NOCYCLE PRIOR granted_role = grantee;