Oracle中Schema与用户一一对应，创建用户即创建同名Schema；能否登录仅取决于是否授予CREATE SESSION权限，而非Schema本身具备登录能力。
Oracle 里没有“无登录权限的 Schema”这种东西——Schema 和用户是一体的，创建用户就自动创建同名 Schema，而能否登录只取决于该用户有没有 CREATE SESSION 权限。
为什么不能直接创建“无登录 Schema”
Oracle 不支持独立于用户的 Schema 创建。执行 CREATE USER u_webapp IDENTIFIED BY pwd 时，系统会自动创建名为 U_WEBAPP 的 Schema，并把后续在该用户下建的表、视图等对象默认归属到这个 Schema 下。所谓“不给登录权限”，本质是不授予 CREATE SESSION，而不是 Schema 本身有登录能力。
正确做法：建用户 + 撤销 CREATE SESSION + 授予对象操作权限
这是生产中为 Web 应用后端服务账号（如连接池使用的账号）配置的常见模式：能访问对象，但不能交互式登录 SQL*Plus 或 SQL Developer。
- 先创建用户：
CREATE USER u_webapp IDENTIFIED BY "StrongPass123!" DEFAULT TABLESPACE users QUOTA 100M ON users; - 立刻回收登录权：
REVOKE CREATE SESSION FROM u_webapp; - 再授予它需要的对象级权限，比如：
GRANT SELECT, INSERT, UPDATE ON app_owner.orders TO u_webapp; - 如果应用需调用存储过程，还需：
GRANT EXECUTE ON app_owner.calc_discount TO u_webapp; - 注意：不要授
SELECT ANY TABLE这类高危系统权限，严格按最小权限原则给对象级授权
常见错误：误以为 DROP USER 能保留 Schema
有人想“先建用户 → 建好表 → 再删用户留 Schema”，这行不通。Oracle 中 DROP USER u_webapp 会连带删除该用户 Schema 下所有对象（除非加 CASCADE，但那只是强制删，不是保留）。Schema 无法脱离用户存在。
- 试图用
ALTER USER u_webapp ACCOUNT LOCK代替REVOKE CREATE SESSION是错的：锁账户仍允许程序用密码连接（只要驱动不校验账户状态），而撤权限是数据库层硬拦截 - 用角色间接控制也不推荐：比如建个角色
webapp_role，授对象权限，再把角色给用户，最后撤CREATE SESSION——可行，但多一层抽象，排查权限问题时反而绕路
验证是否真不可登录
别只信脚本执行成功，要实测：
- 用 sqlplus 尝试连接：
sqlplus u_webapp/StrongPass123!@//host:1521/orcl - 预期返回错误：
ORA-01045: user U_WEBAPP lacks CREATE SESSION privilege; logon denied - 同时确认对象访问正常：用另一个有
CREATE SESSION的用户（如app_owner）执行SELECT * FROM u_webapp.some_table，应能查到数据（前提是已授SELECT）
真正容易被忽略的是：Web 应用连接池配置里若启用了连接验证语句（如 SELECT 1 FROM DUAL），而该用户没被授 SELECT ANY TABLE 或显式授了 SELECT on DUAL，就会静默失败——这不是登录问题，是权限漏授。
