oracle用户角色需显式设为默认才生效，因仅登录时启用默认角色，未设置则session_roles为空；alter user default role必须明确列出角色或用all/none，不支持except，且修改后需重新登录。
Oracle用户默认角色不能通过 ALTER USER 直接“设置为默认”，必须用 ALTER USER DEFAULT ROLE 显式指定，否则即使已授予权限，角色也不会自动生效。
为什么新授的角色不自动生效
用户被授予角色后，默认不会激活——除非该角色被显式设为“默认角色”。Oracle只在登录时自动启用默认角色中的权限。若未设置，默认角色为空（NONE），哪怕 dba_role_privs 显示已授予权限，session_roles 里也查不到。
- 常见错误现象：
SELECT * FROM session_roles;返回空结果，但SELECT * FROM dba_role_privs WHERE grantee = 'USER1';确实有记录 - 根本原因：角色存在，但未被设为默认，也未手动
SET ROLE - 注意：
CONNECT、RESOURCE这类预定义角色在旧版本中曾默认启用，但 Oracle 12c+ 默认行为已收紧，必须显式声明
ALTER USER DEFAULT ROLE 的正确写法
语法严格，不允许模糊或通配；必须列出全部希望作为默认的角色名（包括 DEFAULT ROLE NONE 这种明确清空操作）。
- 启用指定角色：
ALTER USER user1 DEFAULT ROLE role_a, role_b; - 启用所有已授予的角色：
ALTER USER user1 DEFAULT ROLE ALL;（慎用，可能引入意外权限） - 禁用全部默认角色（仅保留直接授予的系统权限）：
ALTER USER user1 DEFAULT ROLE NONE; - 错误写法示例：
ALTER USER user1 DEFAULT ROLE ALL EXCEPT role_x;—— Oracle 不支持EXCEPT语法
修改后需要重新登录才生效
DEFAULT ROLE 是会话级设置，只在下次登录时加载。当前会话不会自动刷新，也不能靠 SET ROLE 绕过这个限制。
- 验证方式：断开连接后重连，再执行
SELECT * FROM session_roles; - 如果仍为空，请检查：
- 角色名拼写是否与
dba_roles.role完全一致（大小写敏感，除非用双引号创建） - 用户是否真被授予了该角色（查
dba_role_privs，而非仅看创建语句） - 是否存在
GRANT ... WITH ADMIN OPTION误传导致权限链断裂
- 角色名拼写是否与
安全应用程序角色要额外 SET ROLE
带口令的角色（如 CREATE ROLE app_role IDENTIFIED BY 'pwd'）无法设为默认角色——Oracle 强制要求运行时显式调用 SET ROLE 并提供口令，即使已设为默认。
- 这种角色在
dba_role_privs中ADMIN_OPTION为NO，且DEFAULT_ROLE设置对其无效 - 使用方式只能是：
SET ROLE app_role IDENTIFIED BY 'pwd'; - 所以，如果你依赖口令保护角色，就别指望它“默认生效”；这是设计使然，不是配置遗漏
真正容易被忽略的是：角色是否默认生效，和“是否被授予”完全解耦。DBA 往往只查 dba_role_privs 就认为权限到位了，却忘了 DEFAULT ROLE 这一层开关。线上排查权限问题时，先看 session_roles，再反查 DEFAULT ROLE 设置，比反复 GRANT 更快定位根源。
