如何在Oracle 19c中批量创建用户并分配初始权限-Oracle-PHP中文网

oracle不支持create user多用户逗号语法，批量创建必须通过pl/sql循环+execute immediate实现，且需在目标pdb中执行、显式指定表空间与配额，并遵循最小权限原则授予权限。

create user 语句不能批量执行，必须逐条提交

oracle 没有类似 create user ... , ... 的批量语法。哪怕你写成多行、用分号隔开，在 sql*plus 或 sqlcl 中也只会执行第一条，后续报 ora-00922: missing or invalid option。这是因为 create user 是 ddl 语句，每条都隐式触发一次提交，且不支持逗号分隔的多用户定义。

真正能“批量”的方式只有两种：脚本拼接 + 循环执行，或用 PL/SQL 动态构建并 EXECUTE IMMEDIATE。前者更安全可控，后者容易因权限或上下文出错。

别在 Navicat 或 Oracle SQL Developer 的“运行全部”按钮里直接粘贴多条 CREATE USER —— 它们默认按分号切分，但第一条之后的语句会因缺少有效上下文而失败
如果用 shell 脚本调用 sqlplus，确保每条 CREATE USER 独占一行，且前后有空行或 / 分隔符
CREATE USER 必须显式指定 DEFAULT TABLESPACE 和 TEMPORARY TABLESPACE，漏掉任一者都会报 ORA-00959 或 ORA-01955

用匿名 PL/SQL 块动态创建多个用户（带权限）

这是最贴近“批量”需求的实操方案，适合一次性建 5–20 个开发用户。核心是把用户名、密码、表空间等参数存进集合，再循环调用 EXECUTE IMMEDIATE。

注意：该块必须由具有 CREATE USER 和 GRANT ANY PRIVILEGE 权限的用户（如 SYS）执行，且当前容器必须是目标 PDB（不是 CDB$ROOT）。

DECLARE
  TYPE user_rec IS RECORD (
    name     VARCHAR2(30),
    pwd      VARCHAR2(30),
    tbs      VARCHAR2(30),
    temp_tbs VARCHAR2(30)
  );
  TYPE user_tab IS TABLE OF user_rec;
  users user_tab := user_tab(
    user_rec('p19c0', 'p19c0', 'users', 'temp'),
    user_rec('p19c1', 'p19c1', 'users', 'temp'),
    user_rec('p19c2', 'p19c2', 'users', 'temp')
  );
BEGIN
  FOR i IN 1..users.COUNT LOOP
    EXECUTE IMMEDIATE 'CREATE USER ' || users(i).name || 
                       ' IDENTIFIED BY ' || users(i).pwd ||
                       ' DEFAULT TABLESPACE ' || users(i).tbs ||
                       ' TEMPORARY TABLESPACE ' || users(i).temp_tbs ||
                       ' QUOTA 100M ON ' || users(i).tbs ||
                       ' ACCOUNT UNLOCK';
<pre class="brush:php;toolbar:false;">EXECUTE IMMEDIATE 'GRANT CREATE SESSION TO ' || users(i).name;
EXECUTE IMMEDIATE 'GRANT CREATE TABLE, CREATE VIEW, CREATE SEQUENCE TO ' || users(i).name;

END LOOP; END; /

密码若含特殊字符（如 @、#），必须用双单引号包裹，例如 'p@ss''w0rd'
QUOTA 100M ON ... 是关键：没配额，用户能连上但建表立刻报 ORA-01536: space quota exceeded
不要在循环里授 DBA 或 UNLIMITED TABLESPACE —— 一个用户出问题，整个批量操作就失控

为什么不能直接用 CONNECT/RESOURCE 角色代替细粒度授权

GRANT CONNECT, RESOURCE TO user 看似省事，但在 Oracle 19c 多租户环境下已不推荐。原因很实际：

Crypto Sniper Oracle

机构级量化市场预言机，提供订单簿失衡（OBI）、VWAP分析、自动化报告及Telegram预警。

下载

RESOURCE 角色隐式包含 UNLIMITED TABLESPACE（除非你手动 revoke），这违反最小权限原则，且容易导致表空间被撑爆
CONNECT 在 19c 中已降级为仅含 CREATE SESSION，不再包含 CREATE VIEW 等，所以即使授了它，用户仍无法建视图
从 12c 起，Oracle 官方文档明确建议用自定义角色替代 RESOURCE，比如封装 CREATE TABLE、CREATE SEQUENCE、CREATE PROCEDURE 等显式权限
如果你真用了 GRANT CONNECT, RESOURCE TO p19c0，后续查 SELECT * FROM role_sys_privs WHERE role = 'RESOURCE' 会发现它还带了 CREATE CLUSTER、CREATE TYPE 等几乎用不到的权限

多租户环境（CDB/PDB）下最容易忽略的容器切换

你在 CDB$ROOT 下执行的任何 CREATE USER，默认创建的是 CDB 用户（必须以 C## 开头），对 PDB 不可见。而你要批量建的 p19c0 这类用户，是典型的本地用户，必须在目标 PDB 内操作。

确认和切换方法：

SHOW CON_NAME; -- 查看当前容器名，应为你的 PDB（如 ORCLPDB1）
SELECT con_id, con_name FROM v$pdbs; -- 列出所有 PDB
ALTER SESSION SET CONTAINER = ORCLPDB1; -- 切换到目标 PDB

如果忘了切容器，脚本跑完发现用户没出现，去 DBA_USERS 查时会发现 CON_ID = 1（即 CDB 层），而不是你期望的 PDB 的 CON_ID
用 sys_context('USERENV', 'CON_NAME') 在 PL/SQL 块里做校验，避免静默失败
PDB 名称区分大小写，ORCLPDB1 和 orclpdb1 是两个不同容器

批量创建本身不难，难的是每个用户背后的表空间配额、容器上下文、角色膨胀控制——这些细节一旦漏掉，用户建出来也用不了，还得一条条 debug。