oracle中proxy user是被代理用户主动授权的会话级身份委托机制，正确授权语法为alter user 被代理用户 grant connect through 代理用户，验证需通过proxy_users视图查已激活会话，真实认证身份由sys_context('userenv','authenticated_identity')返回。
Oracle 中的 PROXY USER 不是“免密提权”，而是由被代理用户主动授权、连接时显式声明的会话级身份委托机制。配置错一步，ORA-01928 或 ORA-01017 就会立刻报出来。
怎么用 ALTER USER 正确授予 CONNECT THROUGH 权限
授权主体必须是被代理用户（即应用主账号），不是代理用户；语法顺序不能反。
- 错误写法：
ALTER USER U1118 GRANT CONNECT THROUGH ZLHIS→ 直接报ORA-02000语法错误 - 正确写法：
ALTER USER ZLHIS GRANT CONNECT THROUGH U1118→ ZLHIS 是被代理方，U1118 是代理方 - 验证是否生效：
SELECT * FROM PROXY_USERS WHERE CLIENT = 'U1118' AND PROXY = 'ZLHIS'，有记录才表示授权成功 - 撤销权限：
ALTER USER ZLHIS REVOKE CONNECT THROUGH U1118，执行后PROXY_USERS视图中对应行立即消失
代理登录后如何区分真实操作者和被代理身份
USER 和 V$SESSION.USERNAME 都返回被代理用户（如 ZLHIS），但原始认证身份藏在上下文里，且只有一个是防篡改的。
-
SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY')→ 返回U1118，这是不可伪造的真实登录账号，审计日志底层也依赖它 -
SYS_CONTEXT('USERENV', 'PROXY_USER')→ 返回ZLHIS，仅当走代理时才有值 -
SYS_CONTEXT('USERENV', 'SESSION_USER')→ 同USER，始终是被代理用户 -
CLIENT_IDENTIFIER默认为空，需应用层手动设（如 JDBC 调用setClientIdentifier()），否则审计表DBA_AUDIT_TRAIL.CLIENT_ID就是空的
ODP.NET 连接字符串里怎么启用代理并避免池混乱
ODP.NET 不靠开关，靠连接字符串字段组合识别代理上下文；而每个不同的 Proxy User Id 都会被视为独立连接池，极易池膨胀。
- 连接字符串必须含：
User Id=app_admin;Proxy User Id=ZLHIS;，两者不能相同；若被代理用户无密码，可省略Proxy Password - 不要为每个终端用户动态拼
Proxy User Id并开池 —— Web 场景下几百个用户就生成几百个池，Max Pool Size再设 100 就直接超限 - 推荐做法：复用固定网关用户（如
Proxy User Id=web_proxy），登录后立刻执行ALTER SESSION SET CURRENT_SCHEMA = ZLHIS - 验证代理是否生效：执行
SELECT SYS_CONTEXT('USERENV', 'PROXY_USER') FROM DUAL，返回空说明没走代理
为什么 PROXY_USERS 视图查不到刚授的权
常见误判点：刚执行完 ALTER USER ... GRANT CONNECT THROUGH 就去查 PROXY_USERS，结果为空。
- 该视图只显示“当前已建立且有效的代理关系”，不是授权日志；它依赖会话实际使用了代理才触发记录
- 必须先用代理方式连一次（如
sqlplus U1118[ZLHIS]/pwd@db），再查视图才能看到对应行 - 如果连接失败（比如密码错或未配监听别名），视图仍为空 —— 它不反映“授权状态”，只反映“已激活的代理会话”
