不一致。11g中PUBLIC权限修改立即生效且无警告，19c清理隐式继承更严格；19c中CREATE SESSION仍属CONNECT但首次连接即校验默认表空间；19c对FGAC策略函数执行权限校验更严，需显式授权并建议用AUTHID CURRENT_USER；19c数据字典权限视图返回更精准，但需交叉验证时效性。
11g与19c中PUBLIC角色权限行为是否一致
不一致。11g中修改PUBLIC角色权限会立即影响所有用户，且无显式警告；19c仍保留该机制，但DBA_SYS_PRIVS和DBA_TAB_PRIVS视图对PUBLIC的记录更严格——若通过REVOKE从PUBLIC撤回权限，19c会同步清理所有依赖该权限的隐式继承路径，而11g可能残留缓存态授权。
实操建议：
- 避免在生产环境直接
REVOKE或GRANT给PUBLIC，尤其涉及SELECT ANY TABLE、EXECUTE ANY PROCEDURE等高危权限 - 19c中可通过
SELECT * FROM DBA_ROLE_PRIVS WHERE GRANTEE = 'PUBLIC'快速定位被误授的角色 - 迁移前用
SELECT GRANTEE, PRIVILEGE FROM DBA_SYS_PRIVS WHERE GRANTEE = 'PUBLIC'比对两库差异
19c中CREATE SESSION权限是否仍默认赋予CONNECT角色
是，但行为有隐性变化。11g中CONNECT角色包含CREATE SESSION，且新建用户只要GRANT CONNECT TO user即可登录；19c保留该映射，但若用户未显式指定DEFAULT TABLESPACE，19c会在首次CREATE SESSION时强制检查默认表空间可用性，缺失则报ORA-01950: no privileges on tablespace，而11g仅在首次建对象时才暴露该问题。
实操建议：
- 创建用户时必须同时指定
DEFAULT TABLESPACE和TEMPORARY TABLESPACE，例如：CREATE USER app_user IDENTIFIED BY pwd DEFAULT TABLESPACE users TEMPORARY TABLESPACE temp; - 不要依赖
GRANT CONNECT TO user后立刻能连——先确认表空间状态，再测试连接 - 11g迁移至19c时，批量脚本中遗漏表空间定义的用户需补全，否则应用启动失败
19c对细粒度访问控制（FGAC）策略的权限校验更严格
19c中，当使用DBMS_RLS.ADD_POLICY添加基于函数的行级安全策略时，策略函数所在包必须显式授予EXECUTE权限给策略应用的目标用户或角色；11g允许策略函数在定义者权限（DEFINER’S RIGHTS）下静默执行，即使调用者无EXECUTE权限也不报错。
常见错误现象：
- 11g正常运行的FGAC策略，在19c中执行
SELECT时突然报ORA-06598: insufficient INHERIT PRIVILEGES privilege - 策略函数返回结果看似正确，但实际过滤失效（因权限不足导致函数未执行，策略退化为无条件放行）
实操建议：
- 检查所有RLS策略函数所属的PL/SQL包，对目标用户执行：
GRANT EXECUTE ON pkg_sec_policy TO app_user; - 策略函数应声明为
AUTHID CURRENT_USER而非DEFINER'S RIGHTS，以明确依赖调用者权限上下文 - 用
SELECT * FROM DBA_POLICIES WHERE OBJECT_NAME = 'your_table'确认策略状态，再查DBA_TAB_PRIVS验证函数包权限是否到位
19c中数据字典视图对权限查询的返回精度提升
11g中USER_TAB_PRIVS可能漏报部分对象权限（如通过角色间接获得的权限），而19c的ALL_TAB_PRIVS_RECD和DBA_TAB_PRIVS对角色继承链解析更完整，能准确反映“谁对哪个对象有什么权限”，包括经多层角色嵌套传递的权限。
这意味着：
- 权限审计脚本若只查
USER_TAB_PRIVS，在11g上可能低估用户实际能力，19c上则更接近真实面 - 跨版本比对权限时，不能直接用
MINUS对比两个库的DBA_TAB_PRIVS输出——19c返回行数通常更多，不是权限变多了，而是原来没查到的现在查到了 - 19c新增
ROLE_TAB_PRIVS视图，可直接查某角色授予了哪些表权限，比11g靠DBA_TAB_PRIVS手工过滤更可靠
真正容易被忽略的是：权限“可见性”不等于“可用性”。即使19c把所有继承路径都列出来了，若中间某角色被REVOKE但未级联清理，视图仍可能显示旧路径——得结合DBA_ROLE_PRIVS和DBA_TAB_PRIVS交叉验证时效性。
