在pdb中创建本地用户必须先alter session set container=pdb_name切换容器，否则create user默认在cdb$root执行且要求c##前缀；授权时不可加container子句，删除用户也须在对应pdb内执行。
在PDB中创建本地用户必须先切换容器
不切换到目标PDB就执行 CREATE USER，Oracle 会默认在 CDB$ROOT 创建公共用户（要求用户名带 C## 前缀），而你想要的是只属于当前PDB的本地用户。常见错误是直接连 / as sysdba 后就建用户，结果发现用户出现在所有PDB里或报 ORA-65094: invalid local user name。
正确做法是：
- 先确认当前容器：
SELECT SYS_CONTEXT('USERENV','CON_NAME') FROM DUAL; - 若返回不是目标PDB名（如
ORCLPDB1），执行：ALTER SESSION SET CONTAINER=ORCLPDB1; - 再运行
CREATE USER pdb_user IDENTIFIED BY "Passw0rd!" DEFAULT TABLESPACE users;
注意：本地用户不能带 C##，也不能在 CDB$ROOT 中创建；否则会报错或变成公共用户。
本地用户授权必须省略 CONTAINER 子句
在PDB内对本地用户授权时，GRANT 语句**不能加 CONTAINER=ALL 或 CONTAINER=CURRENT**——Oracle 会直接报错 ORA-65047: CONTAINER clause not allowed for local user。这是最容易踩的坑：有人照抄CDB里的写法，硬加上去，结果权限没授成，还浪费时间排查语法。
只需在已切换到该PDB的会话中执行：
GRANT CREATE SESSION, CREATE TABLE TO pdb_user;GRANT UNLIMITED TABLESPACE TO pdb_user;- 如需DBA级权限：
GRANT DBA TO pdb_user;（仅限开发/测试环境）
这些权限只生效于当前PDB，不会影响其他PDB，也不需要额外指定容器范围。
验证本地用户权限是否生效
权限授完不代表立刻可用。常见现象是：用户能连上，但一建表就报 ORA-01031: insufficient privileges。原因通常是没给 UNLIMITED TABLESPACE 或默认表空间不可写。
检查要点：
- 确认用户默认表空间状态：
SELECT TABLESPACE_NAME, STATUS FROM DBA_TABLESPACES WHERE TABLESPACE_NAME = 'USERS';（必须是ONLINE） - 查用户实际拥有的角色：
SELECT * FROM DBA_ROLE_PRIVS WHERE GRANTEE = 'PDB_USER'; - 查直接授予的系统权限：
SELECT * FROM DBA_SYS_PRIVS WHERE GRANTEE = 'PDB_USER'; - 登录测试：
CONN pdb_user/"Passw0rd!"@ORCLPDB1，然后CREATE TABLE t1(id NUMBER);
特别注意：如果PDB使用了非默认的表空间（比如自建的 FMTBS），必须显式指定 DEFAULT TABLESPACE fmtbs，且确保该表空间数据文件路径在PDB上下文里可访问。
删除本地用户只能在对应PDB内执行
想删掉一个PDB本地用户，却在 CDB$ROOT 下跑 DROP USER pdb_user，Oracle 会提示 ORA-01918: user 'PDB_USER' does not exist——因为该用户根本不在CDB层级注册。
必须严格遵循“在哪建，就在哪删”：
- 先切过去：
ALTER SESSION SET CONTAINER=ORCLPDB1; - 再删：
DROP USER pdb_user CASCADE; - 验证：
SELECT USERNAME FROM DBA_USERS WHERE USERNAME = 'PDB_USER';应无返回
遗漏容器切换是删除失败的最常见原因；更隐蔽的问题是：如果该用户拥有对象（如表、序列），CASCADE 不可省略，否则报 ORA-01922: CASCADE must be specified to drop 'PDB_USER'。
本地用户权限管理的核心就三点：容器上下文必须精准、授权语句不加 CONTAINER、删用户必须回到原PDB。任何一步跨容器操作都会失效或报错，没有例外。
