Oracle克隆PDB不复制用户权限，因权限属运行时状态，未序列化迁移；需手动重建用户并重授角色、系统及对象权限，重置密码，并确保FILE_NAME_CONVERT覆盖所有表空间路径。
不能直接“克隆用户”，只能在新PDB中重建同名用户并手动赋权 —— Oracle不支持跨PDB自动复制用户权限体系。
为什么CREATE PLUGGABLE DATABASE不带用户权限？
远程或本地克隆PDB（如CREATE PLUGGABLE DATABASE ... FROM @dblink）只复制数据文件、字典元数据和对象定义，但DBA_USERS、DBA_ROLE_PRIVS、DBA_SYS_PRIVS、DBA_TAB_PRIVS这些权限视图内容属于“运行时状态”，不会随PDB一起序列化迁移。新PDB打开后，用户账号虽存在（如果原PDB里是COMMON用户且CONTAINER=ALL），但LOCAL用户默认不出现，更不会继承原库的GRANT链。
- COMMON用户（如
C##ADMIN）在克隆后仍存在，但其角色/系统权限需确认是否在CONTAINER=ALL下授予；否则可能只在源PDB生效 - LOCAL用户（如
HR、SCOTT）在新PDB中完全不存在，必须显式CREATE USER并重新GRANT - 即使用户存在，密码哈希值也不会被复制（Oracle 19c默认不导出
USER$.PASSWORD），登录会失败
如何重建同名用户并还原权限？
最可靠的方式是：在源PDB中导出用户定义 + 所有权限语句，再在目标PDB中执行。不要依赖GUI工具或Data Pump的EXCLUDE=USER之类模糊选项。
- 用
DBMS_METADATA.GET_DDL('USER', 'HR')获取CREATE USER语句（含DEFAULT TABLESPACE、QUOTA等） - 查询
DBA_ROLE_PRIVS、DBA_SYS_PRIVS、DBA_TAB_PRIVS生成对应GRANT语句，例如：SELECT 'GRANT ' || granted_role || ' TO ' || grantee || ';' FROM dba_role_privs WHERE grantee = 'HR' AND owner IS NULL;
- 特别注意
WITH ADMIN OPTION和WITH GRANT OPTION，漏掉会导致下游授权中断 - 密码需重置：
ALTER USER hr IDENTIFIED BY newpass;（无法还原原始密码）
FILE_NAME_CONVERT漏配导致用户表空间路径错误
克隆PDB时若FILE_NAME_CONVERT未覆盖用户表空间（如USERS）的数据文件路径，新PDB虽能创建成功，但用户登录后执行CREATE TABLE会报ORA-01119或ORA-27040 —— 因为CREATE USER ... DEFAULT TABLESPACE users指向的是源路径下的文件，而该文件在目标端根本不存在或不可写。
- 查源PDB所有数据文件：
SELECT file_name FROM dba_data_files WHERE con_id = SYS_CONTEXT('USERENV','CON_ID'); -
FILE_NAME_CONVERT必须成对覆盖每一个路径，例如：('"/u01/oradata/CDB1/PDB1/"','"/u01/oradata/CDB1/PDB1_CLONE/"') - 若使用
CREATE_FILE_DEST，确保该目录已存在且Oracle OS用户有读写权限，否则CREATE USER可能因无法创建临时段而失败
可刷新PDB（Refreshable PDB）也不能同步用户权限变更
即使你用了REFRESH MODE AUTO的可刷新PDB，它只同步数据块和字典基表（如OBJ$、USER$），但权限信息存储在SYSAUX中的LOGSTDBY$或内存结构中，不参与日志应用。每次ALTER PLUGGABLE DATABASE ... REFRESH后，新授的权限不会自动出现在目标端。
- 验证方式：在源PDB执行
GRANT SELECT ON hr.employees TO scott;，然后刷新目标PDB，再连上去查DBA_TAB_PRIVS，该记录不会出现 - 这意味着：如果你依赖可刷新PDB做只读报表库，必须把权限管理纳入运维脚本，定期比对并补全
- 别指望
DBMS_PDB.DESCRIBE或DBMS_PDB.CHECK_PLUG_COMPATIBILITY能发现权限缺失问题 —— 它们不检查DBA_*_PRIVS
真正麻烦的不是建用户，而是确认“相同权限”到底指什么：是精确到每个GRANT语句，还是只要功能等价？生产环境常有隐式依赖（比如某应用硬编码了EXECUTE ON SYS.DBMS_CRYPTO），这类权限容易被漏掉。建议把权限导出逻辑封装成PL/SQL脚本，每次克隆后自动执行，而不是靠人眼核对。
