oracle 12c 中不存在“临时管理员”角色，所谓“临时提权”必须靠手动组合最小权限 + 明确生命周期控制，否则极易越权或遗留风险。
为什么不能直接 GRANT PDB_DBA 或 DBA
在 Oracle 12c 的 PDB 环境中执行 GRANT PDB_DBA TO u1 会立刻报错 ORA-01917: user or role 'pdb_dba' does not exist——这不是权限不足，而是该角色根本未定义。同理，DBA 是 CDB 级角色，在 PDB 内不可见、不可授；PDB_ADMIN 是 18c 才引入的专用角色，12c 查 DBA_ROLES 就没有它。强行用 CONTAINER=ALL 授权还会触发 ORA-65047。
如何在 PDB 内创建等效的临时管理员用户
核心是：本地用户 + 本地权限 + 显式作用域 + 可撤销设计。操作前必须确认当前容器是目标 PDB：
- 用
SELECT SYS_CONTEXT('USERENV', 'CON_NAME') FROM DUAL验证会话已进入目标 PDB（如ORCLPDB），不是CDB$ROOT - 创建本地用户（不加
C##前缀）：CREATE USER u1 IDENTIFIED BY pwd123 - 授予最小必要权限：
GRANT CREATE SESSION, CREATE TABLE, CREATE VIEW, CREATE SEQUENCE, CREATE PROCEDURE TO u1 - 如需管理其他用户，再加：
GRANT CREATE USER, DROP USER, ALTER USER TO u1（注意：DROP USER不带级联，删用户仍需显式写CASCADE） - 配额改用显式控制：
ALTER USER u1 QUOTA UNLIMITED ON users，避免UNLIMITED TABLESPACE
如何实现“临时性”：权限自动过期与安全清理
Oracle 本身不提供权限 TTL 机制，必须靠外部控制。常见可靠做法：
- 用操作系统定时任务（如 Linux
cron）在指定时间后执行REVOKE ... FROM u1和DROP USER u1 CASCADE - 不依赖
sudoers类机制（那是 OS 层），数据库层只能靠脚本+调度器驱动 - 若需审计，提前开启统一审计：
AUDIT GRANT ANY PRIVILEGE BY u1，并确保UNIFIED_AUDIT_TRAIL可查 - 删除前务必检查依赖：
SELECT * FROM dba_dependencies WHERE referenced_owner = 'U1'，防止误删被其他对象引用的对象
容易被忽略的三个硬性限制
临时管理员权限生效的前提，常被跳过但直接导致失败：
-
TEMPORARY TABLESPACE必须显式指定：创建用户时漏写TEMPORARY TABLESPACE temp，或后续没用ALTER USER u1 TEMPORARY TABLESPACE temp绑定，会导致排序、哈希连接等操作直接报ORA-01950 - 所有操作必须在目标 PDB 容器内完成；从
CDB$ROOT连入后未执行ALTER SESSION SET CONTAINER = orclpdb，则用户和权限都落在根容器，对 PDB 完全无效 - 无法通过
GRANT赋予临时表空间访问权——这是用户属性，不是权限，只有CREATE USER或ALTER USER可修改
