ORA-01045错误需授CREATE SESSION权限，多租户下必须在目标PDB中执行GRANT并验证；图形工具需点Apply，大小写敏感；权限查到但无效时应查SESSION_PRIVS并SET ROLE激活。
GRANT 执行了但 SELECT * FROM DBA_SYS_PRIVS 查不到
授权命令执行成功不代表权限已生效，常见原因是没在正确的容器（CDB/PDB）里操作。Oracle 12c+ 多租户环境下，GRANT CREATE SESSION TO poc_test 如果在 CDB$ROOT 中执行，权限只存在于 CDB 层，对 PDB 内的用户无效。
必须先确认当前会话容器：SHOW CON_NAME；若返回 CDB$ROOT，需手动切换：ALTER SESSION SET CONTAINER = orclpdb（把 orclpdb 换成你的 PDB 名），再执行授权。
- 查权限必须在同一个容器里查：
SELECT PRIVILEGE FROM DBA_SYS_PRIVS WHERE GRANTEE = 'POC_TEST' AND PRIVILEGE = 'CREATE SESSION' - 图形工具（如 Navicat、PL/SQL Developer）点完“勾选权限”后常不点 Apply 或 Save，权限实际没写入数据字典
- 用户名大小写敏感：如果建用户时用了双引号
"POC_TEST"，授权时也必须写成GRANT CREATE SESSION TO "POC_TEST"
权限查到了，但连接或执行仍报 ORA-01031
说明权限虽已授予，但未在当前会话中激活。Oracle 中通过角色获得的权限（比如 CONNECT）默认不自动启用，尤其在 JDBC、Python cx_Oracle 等非 SQL*Plus 客户端中更常见。
验证当前会话真实可用的权限，不是看 DBA_SYS_PRIVS，而是查运行时视图：SELECT * FROM SESSION_PRIVS。如果 CREATE SESSION 不在里面，说明它没生效。
- 临时启用角色：
SET ROLE CONNECT（如果角色有密码，加IDENTIFIED BY xxx） - 启用所有默认角色：
SET ROLE ALL - 注意：PL/SQL 存储过程中，通过角色获得的权限默认不可用，必须显式
GRANT到用户本身 - 检查角色是否被设为默认：
SELECT DEFAULT_ROLE FROM DBA_ROLE_PRIVS WHERE GRANTEE = 'POC_TEST' AND GRANTED_ROLE = 'CONNECT'，值应为YES
给了 DBA 角色还是不行？
GRANT DBA TO poc_test 看似万能，但实际受限于 ADMIN OPTION 和认证方式。DBA 角色默认不含 WITH ADMIN OPTION，无法转授；更重要的是，若用户以 IDENTIFIED EXTERNALLY 或 OS 认证登录，部分系统权限（包括 CREATE SESSION）可能根本不会加载。
- 确认登录方式：
SELECT SYS_CONTEXT('USERENV', 'AUTHENTICATION_TYPE') FROM DUAL - OS 认证用户需确保操作系统账户属于
dba组（Linux）或ORA_DBA组（Windows） - 远程登录时，
remote_login_passwordfile必须设为EXCLUSIVE，且口令文件存在且可读 -
sqlnet.ora中SQLNET.AUTHENTICATION_SERVICES在 Linux 下应为ALL或留空，在 Windows 下必须是NTS
存储过程里调其他用户对象总报 ORA-01031
这是最隐蔽的一类：权限在 SQL*Plus 里测试正常，一进存储过程就失败。根本原因是 Oracle 的权限作用域隔离——定义者权限（DEFINER'S RIGHTS）下，角色权限失效，只认直接授予用户的对象权限。
例如：用户 A 调用用户 B 的包，包里查 user_c.orders，即使 A 有 SELECT ANY TABLE 角色，也不行；必须由 user_c 或 DBA 显式执行：GRANT SELECT ON user_c.orders TO user_a。
- 不要依赖
RESOURCE或CONNECT角色来满足对象级操作需求 - 跨用户调用包前，先检查包体里所有引用的对象（表、序列、视图），逐个确认
GRANT是否到位 - 若用
EXECUTE IMMEDIATE动态 SQL，权限检查发生在运行时，比静态 SQL 更严格 - 避免用
ANY类权限（如SELECT ANY TABLE），生产环境应精确到具体对象
权限链路上每个环节都可能断开：容器错、角色未启用、认证方式限制、运行时上下文隔离。最容易被忽略的是——你看到的授权记录，和当前会话实际能用的权限，根本不是一回事。
