跨容器授权必须使用CONTAINER=ALL且仅适用于c##开头的公共用户，本地用户因CDB不可见而无法跨容器授权；漏写CONTAINER=ALL则权限仅限CDB$ROOT，验证需实操连接PDB并查session_privs。
grant 必须带 container=all，且只能作用于以 c## 开头的公共用户——这是跨容器统一身份管理唯一可行路径。本地用户天然隔离，无法被 cdb$root 统一管控。
为什么不能对本地用户做跨容器授权
本地用户（如 scott、app_user）只存在于某个 PDB 的 DBA_USERS 中，CDB_USERS 里根本查不到它。当你在 CDB$ROOT 执行：GRANT CREATE SESSION TO scott CONTAINER=ALL;
Oracle 直接报错：ORA-01917: user or role 'scott' does not exist。
这不是语法问题，是逻辑阻断：CDB 层压根“看不见”这个用户。
CONTAINER=ALL 不是默认行为，漏写就等于白授
在 CDB$ROOT 下执行授权时，不显式写 CONTAINER=ALL，哪怕对象是公共用户，也只生效于当前容器（即 CDB$ROOT）：GRANT CREATE SESSION TO c##apiuser; → PDB 中仍报 ORA-01045: user lacks CREATE SESSION privilegeGRANT CREATE SESSION TO c##apiuser CONTAINER=ALL; → 权限自动同步到所有已 open 的 PDB，包括未来新建的 PDB
常见误操作：
• 用 sys 连 CDB$ROOT 授完权，没切回 PDB 验证
• 在 PDB 内连 sys 执行该语句（此时 CONTAINER=ALL 无效，因非 CDB$ROOT 上下文）
• 混淆角色创建与角色授予：即使 CREATE ROLE c##role1 CONTAINER=ALL; 成功，仍需单独执行 GRANT c##role1 TO c##apiuser CONTAINER=ALL;
验证是否真生效，不能只看视图
CDB_ROLE_PRIVS 和 CDB_SYS_PRIVS 只记录“授权动作”，不代表运行时可用。必须实操验证：
• 先确认用户在目标 PDB 存在：SELECT username, con_id FROM cdb_users WHERE username = 'C##APIUSER';
• 切到该 PDB：ALTER SESSION SET CONTAINER = pdb_app;
• 尝试连接：CONNECT c##apiuser/password@pdb_app;
• 或直接查权限：SELECT * FROM session_privs;
若 PDB 当前未 open，授权会跳过；等它 open 后权限自动就位，无需重授——这点容易被忽略，但很关键。
跨容器身份管理的复杂点不在语法，而在于用户生命周期与容器状态的耦合：公共用户必须从 CDB$ROOT 创建（CREATE USER c##xxx IDENTIFIED BY ... CONTAINER=ALL;），PDB 状态影响授权可见性，而任何一步脱离 common user + CONTAINER=ALL 组合，就掉出统一管理体系。
