Oracle 19c中角色本身不支持密码认证，所谓“带密码角色”实为密码验证角色，需CREATE ROLE ... IDENTIFIED BY创建，但依赖密码文件启用（REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE）且仅SYS可在CDB$ROOT中成功创建并授出。
Oracle 19c 中无法直接为角色设置密码 —— 角色（ROLE）本身不支持密码认证，它只是权限的集合；所谓“带密码保护的角色”，实际是指启用密码验证的角色（password-authenticated role），即用户在启用该角色前必须提供密码。这需要配合 CREATE ROLE ... IDENTIFIED BY 语法，并确保数据库启用了相应机制（如密码文件、或使用 ALTER USER ... IDENTIFIED EXTERNALLY 等强认证方式不适用此场景）。
为什么 CREATE ROLE ... IDENTIFIED BY 在 19c 中常失败？
常见错误是执行 CREATE ROLE app_admin IDENTIFIED BY mypass; 后报 ORA-01994: GRANT failed: password file missing or disabled 或静默忽略密码字段。这是因为：
• Oracle 19c 默认禁用密码验证角色（password-authenticated roles），除非数据库使用了密码文件（orapwd）且参数 REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE 已启用；
• 即使创建成功，该角色也仅能在 SYS 用户连接时通过 SET ROLE role_name IDENTIFIED BY password 启用，普通用户无法直接登录时自动激活；
• 密码验证角色在 PDB（可插拔数据库）中默认不可用，必须在 CDB$ROOT 中配置并显式传播（CONTAINER=ALL）。
正确创建密码验证角色的三步实操
以下操作需以 SYS AS SYSDBA 连接 CDB$ROOT：
- 确认密码文件存在且生效：
SELECT * FROM V$PWFILE_USERS;应至少返回SYS行；若为空，需重建密码文件：orapwd file=$ORACLE_HOME/dbs/orapw$ORACLE_SID password=xxx entries=10 force=y，并重启实例 - 设置参数（若未设）：
ALTER SYSTEM SET REMOTE_LOGIN_PASSWORDFILE=EXCLUSIVE SCOPE=SPFILE;，然后重启数据库 - 创建并授权：
CREATE ROLE app_admin IDENTIFIED BY "Secur3P@ss!";<br>GRANT CREATE SESSION, CREATE TABLE TO app_admin;<br>GRANT app_admin TO dev_user CONTAINER=CURRENT;
注意：这里CONTAINER=CURRENT表示只在当前容器（如 ORCLPDB1）授出角色；若要在所有 PDB 启用，需先在 CDB$ROOT 执行GRANT app_admin TO dev_user CONTAINER=ALL;
启用密码验证角色时的典型错误和绕过点
用户登录后执行 SET ROLE app_admin IDENTIFIED BY "Secur3P@ss!"; 仍可能失败，原因包括：
-
ORA-01979: missing or invalid password for role 'APP_ADMIN'：密码大小写敏感，且引号必须匹配（双引号包裹含特殊字符的密码，单引号会报错） -
ORA-00942: table or view does not exist（当后续执行SELECT * FROM user_role_privs;查不到该角色）：说明角色未被授予当前用户，或授予时用了CONTAINER=ALL但用户连接的是非 CDB 根容器，导致权限未加载 - 即使启用成功，该角色也不会自动激活——每次会话都需手动
SET ROLE，不能靠DEFAULT ROLE设置（密码验证角色不能设为默认） - 应用代码中硬编码
SET ROLE指令风险高，建议改用细粒度权限控制或应用级角色映射，而非依赖数据库层密码角色
真正需要密码保护的场景，往往不是角色本身，而是对敏感对象（如视图、包）做基于 CURRENT_USER 的访问控制；这时应优先考虑 DEFINER'S RIGHTS / INVOKER'S RIGHTS 包 + DBMS_RLS，而不是把安全逻辑压给密码角色——后者维护成本高、审计困难、且容易因容器切换失效。
