不能直接将本地角色转换为公用角色，因其类型由创建时的上下文、命名规则（如c##前缀）和container子句决定，属元数据硬性区分，创建后不可更改；需重建为公用角色并手动迁移权限。
不能直接将本地角色转换为公用角色。 oracle 12c 的角色类型（本地 vs 公用）由创建时的上下文和命名规则决定，创建后不可更改类型 —— 这不是权限或属性的调整问题，而是对象元数据层面的硬性区分。
为什么 CREATE ROLE 时必须选对 container 和前缀
公用角色本质是 CDB 级对象，必须满足两个强制条件：
- 角色名以
C##或c##开头（默认common_user_prefix值为C##，可通过ALTER SYSTEM SET common_user_prefix='MY##' SCOPE=SPFILE修改，但不推荐） - 显式指定
CONTAINER = ALL（在 CDB$ROOT 中执行时可省略，但语义必须是跨容器） - 本地角色只能在 PDB 中创建，且不能带
C##前缀；一旦在 PDB 中用CREATE ROLE myrole;创建，它就永远是本地角色，无法“升级”
常见错误现象：ORA-65094: invalid local user or role name 就是因为你在 CDB$ROOT 中试图创建不带 C## 的角色；反过来，在 PDB 中执行 CREATE ROLE c##myrole CONTAINER=ALL; 会直接报错 ORA-65086: cannot specify CONTAINER clause in a pluggable database。
替代方案：重建角色并迁移权限
若已有本地角色 hr_admin（在 PDB HRPDB 中），现需它在所有 PDB 中生效，只能手动重建为公用角色：
- 先在 CDB$ROOT 中创建公用角色：
CREATE ROLE c##hr_admin CONTAINER = ALL; - 逐个授予原本地角色拥有的系统权限（如
GRANT CREATE SESSION, SELECT ANY TABLE TO c##hr_admin CONTAINER = ALL;） - 逐个授予原本地角色拥有的对象权限（需在对应 PDB 中执行，例如连接
HRPDB后：GRANT SELECT ON hr.employees TO c##hr_admin;） - 最后将该公用角色授予目标用户：
GRANT c##hr_admin TO c##appuser CONTAINER = ALL;
注意：原本地角色 hr_admin 仍存在于 HRPDB 中，不会自动删除，需手动 DROP ROLE hr_admin;（仅在该 PDB 内执行）。
CONTAINER 参数误用导致的典型失败
这个参数控制的是“授权/创建作用域”，不是“角色类型开关”。容易踩的坑包括：
- 在 CDB$ROOT 中对公用角色授予权限时写
CONTAINER = CURRENT→ 权限只生效于 CDB$ROOT，PDB 中该角色无任何权限 - 在 PDB 中对公用角色授予权限（哪怕只是
GRANT CREATE SESSION TO c##hr_admin;）→ 语法允许，但该权限仅对该 PDB 有效，其他 PDB 不继承 - 用
GRANT ... TO ... CONTAINER = ALL时，目标用户必须是公用用户（如c##appuser），对本地用户使用会报ORA-65097: DML operation cannot be performed on a pluggable database from the root
真正关键的分水岭，是创建那一刻：角色名是否合规 + 执行位置是否为 CDB$ROOT + 是否意图跨容器。之后的所有操作，都只是在这个前提下填充能力，而非改变身份。
最常被忽略的一点：common_user_prefix 参数修改后，**必须重启实例**才生效，且会影响所有新建的公用用户/角色 —— 但已存在的对象不受影响。别指望改完参数就能把旧本地角色“变成”公用角色。
