oracle会主动拦截角色循环授权，一旦grant语句形成环路（如r_a→r_b→r_a），立即报ora-01934错误并拒绝执行；该检查实时发生、仅针对角色到角色的显式授予，且只在dba_role_privs中体现已生效关系。
Oracle 会主动拦截角色循环授权，你根本等不到它“出问题”——只要语句里出现 GRANT r_a TO r_b 再 GRANT r_b TO r_a 这类结构，立刻报 ORA-01934，操作直接失败。
ORA-01934 错误就是循环授权的明确信号
这不是警告，是硬性阻止。Oracle 在执行 GRANT 时会对整个角色依赖图做拓扑检测，一旦发现环（比如 A→B→C→A），立即拒绝。
- 错误信息固定为：
ORA-01934: 检测到循环的角色授权 - 它只发生在角色对角色的授予（
GRANT role1 TO role2），不涉及用户或对象权限 - 哪怕中间隔了多层（r1→r2→r3→r1），也会被识别出来
- 注意：这个检查是实时的、语句级的，不是靠事后扫描数据字典
查不到循环？说明还没走到那一步
如果你在 DBA_ROLE_PRIVS 里没看到明显闭环（比如同一角色既在 GRANTEE 列又在 GRANTOR 列反复出现），大概率是因为循环根本没成功建立——被 ORA-01934 挡在门外了。
-
DBA_ROLE_PRIVS只存已生效的授予关系，失败的不会写入 - 想确认是否存在潜在风险链，得人工梳理角色依赖：先查每个角色被谁授予（
WHERE grantee = 'R_T'），再顺着grantor往上追，看是否能绕回起点 - 没有现成视图能自动画出角色依赖图，得靠脚本或手动拼接
SELECT grantor, grantee FROM DBA_ROLE_PRIVS WHERE grantee IN (...)多次查询
为什么不能靠 DBA_TAB_PRIVS 或 DBA_SYS_PRIVS 查循环
这两个视图和角色循环完全无关。DBA_TAB_PRIVS 记的是对象权限的传播链（比如谁能把 SELECT ON HR.EMP 再授出去），DBA_SYS_PRIVS 记的是系统权限（如 CREATE TABLE），它们都不参与角色间授予的环路检测。
- 角色循环只存在于
DBA_ROLE_PRIVS的记录组合中，且必须是显式GRANT role TO role - 即使某个角色内部包含大量系统权限，也不会触发
ORA-01934；只有角色本身被互相授予时才会 - 误查
DBA_TAB_PRIVS容易把对象权限的级联误解成角色循环，徒增干扰
真正难的不是发现循环，而是理清已有角色之间的隐含依赖——尤其是那些通过多层角色嵌套间接获得权限的用户，他们实际拥有的能力可能远超你从 DBA_ROLE_PRIVS 直观看到的链条。
