oracle角色不能设置密码，仅用户可拥有密码；所谓“密码保护角色”实为授予角色时附加口令以控制set role激活，需12c+且依赖密码文件，推荐用代理认证或专用账户替代。
Oracle 角色本身不能直接设置密码 —— 这是关键前提。角色（ROLE）是权限容器，不是认证主体；只有用户（USER）才能拥有密码、被验证、登录数据库。试图给角色设密码（比如 CREATE ROLE admin_role IDENTIFIED BY xxx）会报错 ORA-00922: missing or invalid option。
为什么有人想给角色设密码？
常见误解来源：看到某些文档提到“password-protected role”或混淆了 IDENTIFIED USING / IDENTIFIED EXTERNALLY 等语法，误以为角色可独立认证。实际上，Oracle 中唯一支持密码保护的角色类型是 通过密码文件启用的 ADMINISTERED ROLE，但这仅限于具有 SYSDBA 或 SYSOPER 权限的特殊管理角色，且其“密码”本质是密码文件中存储的 SYS 类账户凭证，不是角色自身的密码。
真正可行的替代方案：用密码保护的用户 + 角色授权
你要实现的其实是「限制谁可以启用某个角色」，正确做法是结合用户密码 + 角色激活控制：
- 创建普通用户（带密码），例如：
CREATE USER app_user IDENTIFIED BY "StrongPass#2026"; - 创建角色：
CREATE ROLE report_role; - 授予权限给角色：
GRANT SELECT ON sales_data TO report_role; - 将角色授予用户：
GRANT report_role TO app_user; - （可选）启用角色口令保护（需密码文件+SYSDBA权限）：
→ 先确保数据库启用了密码文件认证：ALTER SYSTEM SET REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE;
→ 然后用GRANT report_role TO app_user IDENTIFIED BY "rolepwd123";—— 注意：这行语句**只在 Oracle 12c 及以后版本支持**，且该口令仅用于SET ROLE report_role IDENTIFIED BY ...时激活角色，不改变用户登录密码
使用 SET ROLE 时必须提供角色口令的场景
当角色以 IDENTIFIED BY 方式授予用户后，用户登录后默认不会自动启用该角色，必须显式执行：
SET ROLE report_role IDENTIFIED BY "rolepwd123";
否则即使已授予权限，SELECT * FROM sales_data 仍会报 ORA-00942: table or view does not exist。容易踩的坑包括：
- 忘记在
GRANT语句里加IDENTIFIED BY，导致后续SET ROLE不需要口令，失去保护意义 - 口令不符合复杂性规则（如 Oracle 12c+ 默认要求至少 8 字符、大小写+数字+特殊字符），触发
ORA-28003 - 用户未被授予
SET ROLE权限（默认有），但若 profile 中禁用了该系统权限，也会失败 - 角色口令和用户登录密码混用，造成运维混乱
更安全的实践：避免依赖角色口令
角色口令机制较冷门、文档少、调试困难，生产环境建议优先用以下方式替代：
- 用
PROXY AUTHENTICATION控制会话上下文（如CONNECT app_user[report_role]） - 对敏感角色启用
ENABLED ROLES的细粒度控制，配合AUDIT记录SET ROLE行为 - 把高权限角色绑定到专用应用账户，而非通用账号，减少口令暴露面
- 定期检查
DBA_ROLE_PRIVS和DBA_ROLES，确认哪些角色带PASSWORD_REQUIRED标记（查SELECT role, password_required FROM dba_roles;）
真正难的是让开发理解「角色不是人」——它没有身份、没有凭证、也不参与登录流程。所有密码保护最终都落在用户身上，而角色只是权限的搬运工。
