<p>最常见原因是权限来自角色但该角色未设为DEFAULT，Oracle默认只激活DEFAULT角色；执行SELECT * FROM SESSION_ROLES可验证是否启用，未出现则需SET ROLE或ALTER USER ... DEFAULT ROLE启用。</p>
为什么查不到授权记录却能访问表？
最常见原因是权限来自角色，而该角色未设为 DEFAULT。Oracle 默认只激活 DEFAULT 角色，非默认角色的权限在会话中不生效，但 DBA_TAB_PRIVS 仍会显示这些权限——这造成“查得到、用不了”或“查不到、却能用”的错觉。
验证方法很简单：SELECT * FROM SESSION_ROLES;。如果目标角色不在结果里，说明它当前没激活。此时执行 SET ROLE role_name; 再试访问，大概率就能通了。
- 角色必须显式启用（
SET ROLE）或设为 DEFAULT（ALTER USER username DEFAULT ROLE role_name;）才生效 -
DBA_TAB_PRIVS显示的是“谁被授过权”，不是“当前会话有没有权” - 系统权限如
SELECT ANY TABLE会绕过对象级检查，直接放行——这种权限在DBA_SYS_PRIVS里查，别在DBA_TAB_PRIVS白费功夫
ORA-00942 但表确实存在，怎么回事？
报这个错却不缺权限，往往是因为对象名解析失败。Oracle 查表时先按当前 schema 搜索，再找同名 synonym，最后才看 public synonym。如果用户 A 创建了 "Emp"（带双引号），那查询时必须写 SELECT * FROM "Emp";，写 emp 或 EMP 都会失败。
快速确认是否存在大小写敏感对象：SELECT OWNER, OBJECT_NAME, OBJECT_TYPE FROM ALL_OBJECTS WHERE OBJECT_TYPE = 'TABLE' AND LOWER(OBJECT_NAME) = 'emp';
- 带双引号创建的对象名区分大小写，且必须原样引用
- 跨 schema 查询必须写全名，比如
scott.emp，不能只写emp（除非已创建 synonym） - 注意 PDB 边界：同一用户名在不同 PDB 中可能是不同对象，
ALL_OBJECTS默认只查当前 container
V$PWFILE_USERS 显示用户有 SYSDBA，但还是连不上？
密码文件状态和实例加载状态必须匹配。即使 V$PWFILE_USERS 返回了 USERNAME 和 SYSDBA = TRUE，如果密码文件未被实例读取（比如路径不对、权限不足、或未启用 REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE），连接仍会失败。
检查三件事：SHOW PARAMETER remote_login_passwordfile、SELECT * FROM V$PWFILE_USERS;、以及操作系统层密码文件是否存在且可读：ls -l $ORACLE_HOME/dbs/orapw$ORACLE_SID。
- 修改密码文件后必须重启实例或执行
ALTER SYSTEM RELOAD PASSWORDFILE;（12cR2+ 支持） - RAC 环境下每个节点独立维护密码文件，
V$PWFILE_USERS只反映本节点状态 - 密码文件路径错误或
ORACLE_SID不匹配，会导致实例静默忽略该文件
新建用户能登录却查不了任何表，权限到底在哪断的？
CREATE USER 只给 CREATE SESSION，不给任何数据访问权。这是 Oracle 最小权限原则的硬性设计，不是 bug。用户能连上，只是拿到了“进门卡”，还没拿到“进屋钥匙”。
典型断点有三个：SELECT 权限没授、角色没激活、或权限给了但对象不在当前 schema。用这条语句快速定位：SELECT PRIVILEGE FROM DBA_SYS_PRIVS WHERE GRANTEE = 'USERNAME' UNION SELECT PRIVILEGE FROM DBA_SYS_PRIVS WHERE GRANTEE IN (SELECT GRANTED_ROLE FROM DBA_ROLE_PRIVS WHERE GRANTEE = 'USERNAME');
- 对象权限（如
SELECT ON scott.emp）必须显式授予，不会随角色自动继承 - 如果用户属于
DBA角色但没设为 DEFAULT，SESSION_ROLES里看不到它，权限就不生效 -
SELECT_CATALOG_ROLE这类预定义角色只对数据字典视图有效，对普通表无效
真正容易被忽略的是权限生效时机：角色变更、密码文件更新、甚至某些参数调整，都需要重连会话或重启实例才能落地。别只盯着 SQL 查权限，得同步确认会话上下文和实例状态是否一致。
