查用户权限须分三层面：角色（DBA_ROLE_PRIVS）、系统权限（DBA_SYS_PRIVS）、对象权限（DBA_TAB_PRIVS），缺一不可；CDB环境下还需关注CON_ID与容器上下文。
查 DBA_ROLE_PRIVS 和 ROLE_SYS_PRIVS 要分开比
用户权限由「角色授予」和「直接授予的系统权限」两部分组成，不能只查 DBA_ROLE_PRIVS 就认为全了。比如一个用户被授了 DBA 角色，另一个没授角色但直接被 GRANT CREATE ANY TABLE, DROP ANY TABLE，这种差异单看角色列表根本发现不了。
必须分别执行两个查询：
- 角色层面：对比
DBA_ROLE_PRIVS中GRANTEE为两个用户的记录，注意ADMIN_OPTION和DEFAULT_ROLE字段是否一致 - 系统权限层面：查
DBA_SYS_PRIVS，过滤GRANTEE，比较PRIVILEGE、ADMIN_OPTION是否完全相同
漏掉 DBA_SYS_PRIVS 是最常见错误——尤其当 DBA 角色被禁用（DEFAULT_ROLE = 'NO'）时，实际生效权限可能全靠这里撑着。
对象权限差异容易被忽略，得查 DBA_TAB_PRIVS
很多权限问题出在表、视图、过程等具体对象上，比如 SELECT 某张审计表、EXECUTE 某个包。这类权限存在 DBA_TAB_PRIVS 里，不进角色也不进系统权限视图。
关键点：
-
DBA_TAB_PRIVS的GRANTEE是用户名，OWNER+TABLE_NAME+PRIVILEGE组合才是唯一标识 - 注意
GRANTABLE字段：值为'YES'表示该用户还能把这权限转授出去，安全风险更高 - 别漏掉
GRANTOR—— 如果是通过中间角色间接获得的对象权限，GRANTOR可能是角色名而非原始授权人，需结合ROLE_ROLE_PRIVS追踪链路
用 MINUS 快速定位权限缺口
手工逐行比对效率低还易错，直接用 SQL 集合运算更可靠。例如查用户 A 有而用户 B 没有的系统权限：
SELECT PRIVILEGE, ADMIN_OPTION FROM DBA_SYS_PRIVS WHERE GRANTEE = 'USER_A' MINUS SELECT PRIVILEGE, ADMIN_OPTION FROM DBA_SYS_PRIVS WHERE GRANTEE = 'USER_B';
同理可换顺序查 B 有 A 没有的，或套在 DBA_ROLE_PRIVS 上比角色。注意两点：
-
MINUS会自动去重并排序，结果干净，但无法显示“为什么不同”（比如 A 多了个ADMIN_OPTION = YES的权限） - 如果权限项太多，建议先按
PRIVILEGE分组统计数量：COUNT(*) OVER (PARTITION BY PRIVILEGE)，快速识别高频差异项
CDB 环境下必须确认 CON_ID 和容器上下文
在 Oracle 12c+ 多租户架构中，DBA_* 视图默认只返回当前 PDB 的数据。如果你在某个 PDB 里查两个用户，但其中一人是在 CDB$ROOT 授予的 DBA 角色，那这条记录根本不会出现。
操作前务必确认：
- 执行
SELECT SYS_CONTEXT('USERENV', 'CON_NAME') FROM DUAL，看当前在哪个容器 - 要查全局权限，改用
CDB_ROLE_PRIVS、CDB_SYS_PRIVS，并注意CON_ID = 0（CDB 根）和CON_ID > 0（PDB）的区别 - 跨容器比权限时，不能简单 UNION 两个 PDB 的结果——CDB$ROOT 授予的角色对所有 PDB 生效，但
CDB_ROLE_PRIVS里每条记录只存一次，CON_ID字段就是它的作用域标记
最易被忽略的是：同一个用户名在不同 PDB 中可能是不同主体，权限配置完全独立；而 CDB$ROOT 中的用户（如 C##ADMIN）权限会穿透到所有 PDB，但视图里只记一条记录。
