必须先切换到目标pdb容器，否则在cdb$root执行的pdb用户或权限操作会失败或作用于错误范围；正确做法是alter session set container = salespdb，再用container = current显式指定授权作用域，并配置默认表空间与配额。
必须先切换到目标PDB容器
在CDB$ROOT里执行任何针对PDB的用户或权限操作，基本都会失败或作用于错误范围。比如直接在CDB$ROOT运行 GRANT DBA TO appuser，结果是ORA-01950（无表空间配额）或ORA-01045（缺少CREATE SESSION），因为该语句默认只在当前容器（CDB$ROOT）生效，而appuser根本不存在于CDB$ROOT。
正确做法是显式切换会话：
ALTER SESSION SET CONTAINER = salespdb;- 再确认：
SHOW CON_NAME;输出必须是SALESPDB - 若用SQL*Plus连接串登录，必须指定PDB服务名，例如
sqlplus /@salespdb或sqlplus admin/oracle@localhost:1521/salespdb
本地用户 + 本地DBA授权必须用 CONTAINER = CURRENT
Oracle不提供“PDB级DBA角色”的独立定义——DBA 角色本身是公用角色（common role），但授予行为必须限定在当前PDB。漏掉 CONTAINER = CURRENT 就等于把DBA权限授给了CDB$ROOT，对PDB无效。
典型安全组合：
- 先确保用户是本地用户：
CREATE USER sales_app IDENTIFIED BY pwd;（不在CDB$ROOT执行，且用户名不以C##开头） - 授登录权限：
GRANT CREATE SESSION TO sales_app CONTAINER = CURRENT; - 授DBA权限：
GRANT DBA TO sales_app CONTAINER = CURRENT;
注意：GRANT DBA TO sales_app;（无CONTAINER子句）在PDB中会报ORA-65094：invalid local user or role name —— 因为Oracle强制要求本地授权必须显式声明作用域。
表空间配额和默认表空间不能省
拿到DBA权限 ≠ 能建对象。本地用户即使有DBA角色，若没默认表空间或配额，建表时仍会报 ORA-01536: space quota exceeded for tablespace 'USERS'。
必须补全两步：
ALTER USER sales_app DEFAULT TABLESPACE users;-
ALTER USER sales_app QUOTA UNLIMITED ON users;（或限定大小如QUOTA 500M ON users）
别用 GRANT UNLIMITED TABLESPACE TO sales_app —— 这是CDB级系统权限，在PDB中执行直接报 ORA-01950，且违反租户隔离原则。
验证是否真生效：别只查DBA_ROLES
SELECT * FROM DBA_ROLE_PRIVS WHERE GRANTEE = 'SALES_APP'; 只能看出角色被授予了，但看不出作用域。真正要确认的是权限是否能在当前PDB内使用：
- 用
sales_app登录：sqlplus sales_app/pwd@salespdb - 执行：
CREATE TABLE t1 (x INT);→ 成功说明对象权限就位 - 执行：
SELECT COUNT(*) FROM V$SESSION;→ 成功说明动态性能视图访问权已通（DBA角色关键标志）
最容易被忽略的是：V$ 视图访问依赖 SELECT_CATALOG_ROLE，而该角色在PDB中默认不自动绑定到DBA角色；如果 SELECT COUNT(*) FROM V$SESSION 报 ORA-00942，需额外执行 GRANT SELECT_CATALOG_ROLE TO sales_app CONTAINER = CURRENT;
