查系统权限归属角色应使用ROLE_SYS_PRIVS视图，如SELECT role FROM ROLE_SYS_PRIVS WHERE privilege = 'CREATE TABLE'；它仅返回直接授予角色的系统权限，不递归、不包含用户或对象权限。
查某个系统权限被哪些角色包含，用 ROLE_SYS_PRIVS
想确认 CREATE TABLE 或 SELECT ANY TABLE 这类系统权限归属哪些角色（比如 RESOURCE、DBA），直接查 ROLE_SYS_PRIVS 视图就行。它只存「角色 → 系统权限」的映射关系，不涉及用户、不递归展开嵌套角色。
常见错误是误用 DBA_SYS_PRIVS——它记录的是「用户/角色被授了什么系统权限」，但 GRANTEE 字段里填角色名时，Oracle 不会按你预期过滤（它默认只返回当前 session 有效角色的权限）。
- 正确写法：
SELECT role FROM ROLE_SYS_PRIVS WHERE privilege = 'CREATE TABLE'; - 权限名大小写不敏感：
'create table'和'CREATE TABLE'效果一样 - 结果里的
role是直接包含该权限的角色，不包括通过嵌套继承来的（例如 A 角色含 B，B 含CREATE TABLE，这条记录不会出现在结果中）
查对象权限（如 SELECT）被哪些角色包含，ROLE_SYS_PRIVS 不适用
ROLE_SYS_PRIVS 只管系统权限，对象权限（SELECT、UPDATE、EXECUTE 等）必须换思路：Oracle 没有内置视图直接列出「角色 → 对象权限」的映射。因为对象权限总是绑定具体对象（如 SCOTT.EMP），不能脱离 OWNER 和 TABLE_NAME 单独存在。
所以，如果你想知道「哪个角色让某用户能查 HR.EMPLOYEES」，得倒推：
- 先查谁对
HR.EMPLOYEES有SELECT权限：SELECT grantee FROM DBA_TAB_PRIVS WHERE owner = 'HR' AND table_name = 'EMPLOYEES' AND privilege = 'SELECT'; - 如果返回的
grantee是角色名（如APP_ROLE），再确认该角色是否被授予给目标用户：SELECT granted_role FROM DBA_ROLE_PRIVS WHERE grantee = 'TARGET_USER' AND granted_role = 'APP_ROLE'; - 注意：角色本身不会“拥有”对象权限，它只是被授予者；真正生效靠用户持有该角色 + 角色被授了对应对象权限
递归查角色嵌套链里是否间接含某权限，得手动拼 UNION ALL
Oracle 没有 DBA_ROLE_PRIVS 的递归视图，也没有函数能一键展开「A → B → C → CREATE SESSION」这种链。要确认某用户最终能否获得某个系统权限，必须自己构造递归查询。
典型做法是用多层 UNION ALL 查角色继承关系：
SELECT rp1.role
FROM role_sys_privs rp1
WHERE rp1.privilege = 'CREATE SESSION'
UNION ALL
SELECT rp2.role
FROM role_sys_privs rp2
WHERE rp2.role IN (
SELECT granted_role FROM dba_role_privs WHERE grantee IN (
SELECT role FROM role_sys_privs WHERE privilege = 'CREATE SESSION'
)
);
这个例子只展一层嵌套；实际环境可能需 3–4 层。更稳妥的方式是用 Oracle 11g+ 的 CONNECT BY 语法，但前提是你的数据库版本支持且你有足够权限访问 DBA_ROLE_PRIVS。
容易忽略的关键点：权限名和角色名的大小写与引号
权限名（如 CREATE TABLE）在 ROLE_SYS_PRIVS 中不区分大小写，但角色名（如 resource）在 WHERE 条件中必须严格匹配大小写——除非建库时用了双引号定义小写角色名，否则一律大写。
查不到结果？优先检查这三件事：
- 执行语句的用户是否有查询
ROLE_SYS_PRIVS的权限（普通用户默认可查，无需额外授权） - 输入的权限名是否拼错，比如把
UNLIMITED TABLESPACE写成UNLIMITED TABLESPACE（少空格）或UNLIMITED_TABLESPACE（下划线） - 角色名是否误写为用户名，例如查
'SCOTT'而不是'CONNECT'——ROLE_SYS_PRIVS的ROLE列只存角色名，不存用户名
真正麻烦的从来不是查一条记录，而是确认那个“看起来该有的权限”到底有没有落在某条角色链的末端。每次查完，建议顺手验证下目标用户是否真能执行对应操作，而不是只信视图返回的那几行。
