DEFAULT ROLE决定用户登录时自动启用的角色，必须显式指定才生效；未设为默认的角色即使已授予也无法使用，且带密码角色、大小写敏感、需重连验证，不支持模糊语法。
DEFAULT ROLE决定登录时自动启用哪些角色
Oracle用户登录后能直接使用的权限，只来自被设为DEFAULT ROLE的角色——不是“已授予”就等于“能用”，而是必须显式标记为默认，才会在会话初始化阶段加载。哪怕dba_role_privs里清清楚楚写着GRANTEE = 'U1'、GRANTED_ROLE = 'APP_ADMIN'，只要没进DEFAULT ROLE列表，session_roles里就查不到它，对应权限也完全不可见。
常见错误现象：SELECT * FROM session_roles;返回空结果，但SELECT * FROM dba_role_privs WHERE grantee = 'U1';有 5 条记录；根本原因就是这些角色全都没被设为默认。
- 旧版 Oracle（如 11g）对
CONNECT、RESOURCE可能隐式设为默认，但 12c 及以后版本已取消该行为，必须手动指定 -
DEFAULT ROLE是登录时一次性加载的会话级设置，当前会话中修改后不会生效，必须断开重连 - 角色名大小写敏感：若用双引号创建了
"App_Role"，则ALTER USER u1 DEFAULT ROLE App_Role;会失败，必须写成"App_Role"
ALTER USER DEFAULT ROLE语法不能省略角色名列表
Oracle 不支持模糊声明或排除式语法，ALTER USER ... DEFAULT ROLE后面必须明确列出所有你希望作为默认的角色，或者用ALL/NONE两个关键字之一——没有ALL EXCEPT role_x，也没有DEFAULT ROLE *这种写法。
错误示例：ALTER USER u1 DEFAULT ROLE ALL EXCEPT app_role; → 直接报错 ORA-00922: missing or invalid option。
- 启用部分角色：
ALTER USER u1 DEFAULT ROLE app_read, app_write; - 启用所有已授角色（慎用）：
ALTER USER u1 DEFAULT ROLE ALL;→ 若后续误授高危角色（如DBA），会立即生效 - 彻底清空默认角色：
ALTER USER u1 DEFAULT ROLE NONE;→ 此时仅保留直接授予的系统权限（如CREATE SESSION）
带口令的角色无法设为DEFAULT ROLE
像CREATE ROLE app_role IDENTIFIED BY 'pwd';这类安全应用程序角色，Oracle 强制要求运行时显式调用SET ROLE并提供口令，即使你执行了ALTER USER u1 DEFAULT ROLE app_role;，登录后session_roles依然不会包含它，也不会报错，只是静默忽略。
验证方式：SELECT admin_option FROM dba_role_privs WHERE grantee = 'U1' AND granted_role = 'APP_ROLE'; 如果返回NO，说明这是带口令角色，DEFAULT ROLE对其无效。
- 正确使用方式只能是登录后手动执行：
SET ROLE app_role IDENTIFIED BY 'pwd'; - 如果依赖口令保护，就别指望它“默认生效”——这不是配置遗漏，是 Oracle 的强制设计
- 这类角色在
dba_roles中PASSWORD列为YES，可快速筛选
验证DEFAULT ROLE是否生效必须重新登录
修改DEFAULT ROLE后，当前会话中的session_roles不会刷新，也不能靠SET ROLE绕过限制来“模拟默认效果”。唯一可靠验证路径是：断开连接 → 重新登录 → 执行SELECT * FROM session_roles;。
容易踩的坑：在 SQL*Plus 或 SQL Developer 中执行ALTER USER后立刻查session_roles，发现还是空，误以为语句失败；其实只是没重连。
- 若重连后仍为空，请按顺序检查：
dba_role_privs确认是否真授了角色、dba_roles确认角色名拼写、session_roles确认当前会话状态 - 注意：某些客户端（如某些 JDBC 连接池）可能复用连接，需确保是全新会话，而非连接池里的旧连接
实际操作中最容易被忽略的一点是：DEFAULT ROLE不解决权限动态切换问题，它只控制“登录那一刻加载什么”。如果你的应用需要按业务分支临时启用不同角色组合，就得靠SET ROLE配合应用逻辑，而不是寄希望于反复改DEFAULT ROLE。
