普通用户默认无grant权限，必须显式授予grant any privilege、grant any object privilege或grant any role之一才能执行授权；即使拥有dba角色，也不自动获得转授权限，且grant dba不包含with admin option。
普通用户默认没有任何grant权限，必须显式授予grant any privilege或grant any role才能执行授权操作。
普通用户执行GRANT报ORA-01031的直接原因
Oracle对GRANT语句做了严格权限隔离：即使用户有DBA角色，也不自动获得转授权限。系统只检查当前会话是否持有GRANT ANY PRIVILEGE（授系统权限）、GRANT ANY OBJECT PRIVILEGE（授对象权限）或GRANT ANY ROLE（授角色）这三个系统权限之一。
-
GRANT DBA TO user本身不包含WITH ADMIN OPTION，所以被授DBA的用户仍不能给别人授DBA -
RESOURCE、CONNECT等预定义角色完全不含任何GRANT类权限 - 用
ALTER USER ... DEFAULT ROLE ALL或SET ROLE ALL无法绕过这个限制——GRANT权限必须显式授予，不能靠角色启用
授予普通用户GRANT能力的最小可行方案
不要直接给GRANT ANY PRIVILEGE（等价于root），应按需缩小范围：
- 若只需授角色：
GRANT GRANT ANY ROLE TO username; - 若只需授某张表的SELECT：
GRANT SELECT ON schema.table TO username WITH GRANT OPTION; - 若需代管多个角色（如运维账号）：
GRANT <code>role_nameTO username WITH ADMIN OPTION;
注意：WITH ADMIN OPTION和WITH GRANT OPTION不可互换——前者用于角色，后者用于对象权限。
常见误操作与对应修复
很多脚本写GRANT CONNECT, RESOURCE, DBA TO user，但这类组合既冗余又误导：
-
ALTER USER username GRANT DBA语法错误，Oracle会报ORA-02145——DBA是角色，只能GRANT，不能ALTER USER设置 - 用
GRANT ALL PRIVILEGES TO user无效，因为ALL PRIVILEGES在普通用户上下文里不包含GRANT类权限 - 通过OS认证登录时，即使已授
GRANT ANY ROLE，也需确认remote_os_authent = TRUE且用户名前缀匹配os_authent_prefix
权限生效后仍被阻塞？查GV$SESSION锁链
执行GRANT卡住数分钟，大概率是DDL锁冲突，不是权限问题：
- 先查
SELECT sid, sql_id, blocking_session FROM GV$SESSION WHERE sql_id = 'your_grant_sql_id'; - 若
blocking_session非空，说明有其他会话正持有目标对象（如表、角色定义）的排他锁 - 用
SELECT sql_text FROM GV$SQL WHERE sql_id = 'blocking_sql_id';定位阻塞源SQL - 谨慎终止：优先
ALTER SYSTEM KILL SESSION 'sid,serial#'；若无效，再操作系统级kill -9 spid
真正容易被忽略的是：GRANT操作本身会请求DDL lock，而这种锁会被长时间运行的查询、未提交事务甚至隐式游标占用——它和权限配置无关，但现象完全一样。
