Oracle代理认证机制是允许普通用户以管理员身份登录而不获知其密码的安全机制，通过被代理用户（如ZLHIS）主动授予代理用户（如U1118）CONNECT THROUGH权限实现，授权后可通过PROXY_USERS视图验证，登录时USER返回被代理用户，AUTHENTICATED_IDENTITY保留真实认证身份，确保权限与审计可追溯。
代理认证不是“登录即提权”，而是明确分离身份与权限的会话控制机制
如何创建并验证代理用户权限
代理权限必须由被代理用户（通常是应用管理员）主动授予，不能由普通用户自行申请。执行 ALTER USER 时，语法顺序和主体角色容易搞反：不是 GRANT CONNECT THROUGH 给目标用户，而是让被代理用户（如 ZLHIS）授权给代理用户（如 U1118）。
- 错误写法：
ALTER USER U1118 GRANT CONNECT THROUGH ZLHIS（语法报错） - 正确写法：
ALTER USER ZLHIS GRANT CONNECT THROUGH U1118 - 验证是否生效：
SELECT * FROM PROXY_USERS WHERE CLIENT = 'U1118' AND PROXY = 'ZLHIS'，有结果才表示授权成功 - 注意：
PROXY_USERS视图只显示当前有效的代理关系，撤销后立即消失
代理登录后如何区分真实身份与代理身份
一旦用 U1118[ZLHIS] 登录，USER 函数返回的是 ZLHIS，所有权限、审计日志、V$SESSION.USERNAME 都体现为被代理用户。但原始操作者信息并未丢失，需通过上下文函数显式提取。
-
SELECT SYS_CONTEXT('USERENV', 'PROXY_USER') FROM DUAL→ 返回ZLHIS -
SELECT SYS_CONTEXT('USERENV', 'CLIENT_IDENTIFIER') FROM DUAL→ 默认为空，需应用层手动设置 -
SELECT SYS_CONTEXT('USERENV', 'SESSION_USER') FROM DUAL→ 返回ZLHIS（同USER） -
SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL→ 返回U1118（真正认证的账号）
关键点：只有 AUTHENTICATED_IDENTITY 是不可伪造的原始登录身份；其他字段依赖代理链路完整性和中间层是否篡改。
JDBC 和 OCI 中设置 CLIENT_IDENTIFIER 的实际影响
CLIENT_IDENTIFIER 不是代理认证的替代方案，而是补充手段——它不改变权限，但能将轻量级用户标识注入审计日志和细粒度策略中。Oracle 审计启用后，DBA_AUDIT_TRAIL.CLIENT_ID 字段就来自这里。
- OCI 设置示例：
OCIAttrSet(session, OCI_HTYPE_SESSION, (dvoid*)"webapp_user_123", ..., OCI_ATTR_CLIENT_IDENTIFIER, ...) - JDBC 设置方式：
conn.unwrap(OracleConnection.class).setClientIdentifier("webapp_user_123") - 风险点：如果连接池复用连接，未在每次业务请求前调用
setClientIdentifier()，会导致日志中CLIENT_ID混乱 - 兼容性：该属性在 Oracle 9i+ 全版本支持，但 19c 中建议搭配
UNIFIED_AUDIT_TRAIL使用，传统审计视图可能不全
撤销代理权限后残留会话怎么办
执行 ALTER USER ZLHIS REVOKE CONNECT THROUGH U1118 不会踢掉已存在的代理会话。这些会话仍以 ZLHIS 身份持续运行，直到客户端断开或超时。
- 主动清理方法：
ALTER SYSTEM KILL SESSION 'sid,serial#' IMMEDIATE，先查SELECT SID, SERIAL#, USERNAME, CLIENT_IDENTIFIER FROM V$SESSION WHERE USERNAME = 'ZLHIS' AND PROGRAM LIKE '%U1118%' - 更稳妥的做法：在应用层实现“代理会话生命周期绑定”，比如登录时记录
CLIENT_IDENTIFIER为U1118@timestamp，便于后续精准定位 - 隐患：若长期不清理，
PROXY_USERS视图虽已无记录，但审计线索里仍会出现“已撤销用户”的操作痕迹，影响合规检查
代理认证真正的复杂点不在配置，而在于权限边界的可追溯性——AUTHENTICATED_IDENTITY 和 CLIENT_IDENTIFIER 必须配合使用，才能既满足最小权限原则，又通过审计闭环验证操作归属。
