Oracle代理认证机制是允许普通用户以管理员身份登录而不获知其密码的安全机制，通过被代理用户主动授予代理用户CONNECT THROUGH权限实现，授权后USER返回被代理用户，AUTHENTICATED_IDENTITY保留真实认证身份。
代理身份验证不是“换账号登录”，而是让一个已认证用户（如应用服务账号）以另一个用户（如应用管理员）身份建立会话，同时保留原始认证身份可追溯——关键在于授权方向、登录语法和上下文函数的配合。
ALTER USER GRANT CONNECT THROUGH 的授权方向别写反
被代理用户（如 ZLHIS）必须主动授予代理权限给代理用户（如 U1118），不是反过来。Oracle 不允许代理用户自行申请或“绑定”被代理者。
- 错误写法：
ALTER USER U1118 GRANT CONNECT THROUGH ZLHIS→ 直接报 ORA-00922 缺少或无效选项 - 正确写法：
ALTER USER ZLHIS GRANT CONNECT THROUGH U1118 - 验证是否生效：
SELECT * FROM PROXY_USERS WHERE CLIENT = 'U1118' AND PROXY = 'ZLHIS'，有记录才表示授权成功 - 撤销权限同样由被代理用户发起：
ALTER USER ZLHIS REVOKE CONNECT THROUGH U1118
conn username[proxy_user]/password@db 的登录语法要带中括号
代理登录必须显式使用方括号语法，且顺序固定：代理用户名在前，被代理用户名在中括号内。JDBC/OCI 也需按此结构构造连接字符串，否则降级为普通登录。
- 命令行示例：
conn U1118[ZLHIS]/his@qzyy→ 登录后USER返回ZLHIS - JDBC URL 示例：
jdbc:oracle:thin:@//host:1521/orcl?user=U1118[ZLHIS]&password=his（URL 编码中括号） - OCI 连接时需在
OCILogon2或OCIAuthInfoSet中设置OCI_ATTR_PROXY_CREDENTIALS，不能只靠用户名拼接 - 如果漏掉中括号，就只是用
U1118普通登录，完全不触发代理机制
SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') 是唯一不可伪造的真实身份
代理登录后，USER、SESSION_USER、PROXY_USER 全部返回被代理用户（如 ZLHIS），只有 AUTHENTICATED_IDENTITY 固定返回最初认证的账号（如 U1118），且该值由 Oracle 底层认证链生成，无法通过 DBMS_SESSION.SET_IDENTIFIER 等方式篡改。
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 查真实登录者：
SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATED_IDENTITY') FROM DUAL -
CLIENT_IDENTIFIER是应用层可设字段，常用于审计日志中的DBA_AUDIT_TRAIL.CLIENT_ID，但它依赖连接池每次业务请求前手动设置，复用连接时极易残留旧值 -
PROXY_USER仅在代理链存在时返回非空，但若中间层二次代理（如 U1118 再代理到 ZLHIS），该值可能被覆盖，不可靠
JDBC 连接池里 setClientIdentifier 必须每次请求前重置
很多应用误以为设置一次 setClientIdentifier 就够了，但在连接复用场景下，上一个请求留下的 CLIENT_IDENTIFIER 会污染下一个请求的审计记录。
- 正确做法：在每次获取连接后的业务逻辑入口处调用
conn.unwrap(OracleConnection.class).setClientIdentifier("req_abc123") - 务必配对调用
clearClientIdentifier()或设为空字符串，避免跨请求泄漏 - 该值不影响权限控制，只影响审计字段和细粒度策略（如 VPD 中的
sys_context('USERENV','CLIENT_IDENTIFIER')） - 注意：
setClientIdentifier对代理认证无任何作用，它和CONNECT THROUGH是两条独立路径，常被混用
真正难的是权限边界控制——比如只允许代理用户执行 SELECT 而不能 DROP 表，这得靠角色限制（ALTER USER jeff GRANT CONNECT THROUGH HR ROLE role1）或 VPD 策略，单纯靠代理本身做不到细粒度拦截。
