ora-01031执行grant dba to user失败，根本原因是缺少grant any role权限或dba角色未激活；需查session_privs确认该权限是否存在，且连接后执行set role all启用角色。
因为 CREATE USER 权限本身不包含授予角色（尤其是 DBA）的能力，必须额外拥有 GRANT ANY ROLE 或具备 DBA 角色本身才能执行 GRANT DBA TO ...
GRANT DBA TO user 本质是「授予权限的角色」，不是普通对象操作
CREATE USER 只允许你建账号，而 GRANT DBA TO user 是把一个预定义的、含约 160 个系统权限的角色整体转授出去。Oracle 把这类操作视为高危行为，因此默认禁止普通用户执行——哪怕你刚被授予了 CREATE USER。
- 检查当前用户是否真有授予权：执行
SELECT * FROM SESSION_PRIVS WHERE PRIVILEGE = 'GRANT ANY ROLE';，若无结果，就无法授角色 - DBA 角色本身也带
GRANT ANY ROLE，所以已拥有 DBA 的用户自然能再授 DBA；但仅 CREATE USER 不行 - 注意：
GRANT DBA TO user和GRANT CREATE USER TO user是两件事，后者不赋予前者能力
常见错误现象：明明能 CREATE USER，却报 ORA-01031 或 ORA-00942
典型报错是 ORA-01031: insufficient privileges，而不是语法错误。这说明 Oracle 认出了语句结构，但拒绝执行授权动作。
create-psychological-counselor(心理咨询师数字分身)
下载
name: create-psychological-counselor 心理咨询师创造器 创造/蒸馏心理咨询师的数字分身 description: "Create a psychological counselor AI skill, build digital twin of counselor from education/training background, consultation notes, interview transcripts, supervision records,
- 如果用 JDBC 连接后执行
GRANT DBA TO app_user失败，先确认连接用户是否启用了角色（SET ROLE ALL），否则即使有GRANT ANY ROLE也可能因角色未激活而失效 -
ORA-00942: table or view does not exist有时是伪装的权限错误——比如试图查DBA_ROLES却没SELECT_CATALOG_ROLE，导致脚本提前中断，误判为 GRANT 失败 - 在 PL/SQL 块里动态执行
EXECUTE IMMEDIATE 'GRANT DBA TO ...'，需确保该过程以 DEFINER’S RIGHTS 创建且调用者权限足够，或改用 AUTHID CURRENT_USER 并保证调用者直拥GRANT ANY ROLE
安全边界：为什么 Oracle 故意拆开 CREATE USER 和 GRANT ANY ROLE
这是职责分离（Segregation of Duties）的强制落地。允许某人建用户，不等于允许他决定谁该拥有全部数据库控制权。
- DBA 角色可创建用户、删表、停库、读所有数据字典——把它随意转授等同于权限泛滥
- 生产环境应避免直接授 DBA；更安全的做法是按需组合最小权限，例如
GRANT CREATE USER, DROP USER, GRANT ANY ROLE TO sec_admin; - Database Vault 等合规工具会进一步拦截这类操作，即使 SQL 语法合法，也会因策略规则被拒绝
真正卡住的地方往往不是语法写错，而是没意识到「授角色」这件事在 Oracle 里自成一类权限体系，和建用户、建表、连库都不同层级。查 SESSION_PRIVS 比翻文档更快定位缺哪块。
