如何实现Oracle多租户PDB级别用户隔离

先说一个最关键的要点：在Oracle多租户架构下，所有针对PDB的用户操作，都必须精准地在目标PDB内部完成。这不是一个“建议”，而是一个硬性前提。如果不走这个流程，直接登录后就在CDB$ROOT里创建用户，后果几乎是确定的——用户会落在根容器里，导致两个核心问题：要么无法登录目标PDB，要么登录后权限体系直接错位。安全边界形同虚设。

连接时必须指定PDB服务名或显式切换容器

操作环境搞错了怎么办？最常见的坑就出在连接方式上。直接用 sqlplus / as sysdba 登录，默认进入的绝对是 CDB$ROOT。在这个环境下执行 CREATE USER，用户自然就建在了根容器里，与目标PDB毫无关系。

推荐的做法是：连接时直接指定服务名，比如 sqlplus system/password@pdb_service_name。这种方式最直接，也最不容易出错，一步到位。

次选方案是：先以sysdba连到CDB$ROOT，然后通过 ALTER SESSION SET CONTAINER = pdb_name 手动切换到目标PDB。注意，切换完以后，务必要确认当前容器到底对不对。常用的确认语句是：SELECT SYS_CONTEXT('USERENV', 'CON_NAME') FROM DUAL。别嫌麻烦，这一步能避开后续很多麻烦。

容器切对了，后续操作就顺理成章了。比如 CREATE USER u1 IDENTIFIED BY pwd，这条语句会自动在该PDB中创建本地用户（COMMON='NO'），不会牵扯到其他容器。

PDB内只能创建LOCAL用户，不能加CONTAINER=ALL

在PDB里建用户时，Oracle默认将其按LOCAL处理。如果想画蛇添足加个 CONTAINER=ALL，系统会直接抛出 ORA-65094: invalid local user name 错误。因为LOCAL用户的定义本身就是不跨容器的，这种写法就是故意找茬。

这里有两个清晰的规则：

• Common用户必须以 C## 或 ## 开头，且只能在 CDB$ROOT 中创建
• PDB中创建的用户（比如 scott、hr）自动就是LOCAL，CON_ID 字段会显示对应的PDB编号，不会在其他PDB的 CDB_USERS 查询结果中间出现

如果想查用户的归属，用这条语句：SELECT USERNAME, COMMON, CON_ID FROM CDB_USERS WHERE USERNAME = 'U1'。结果应该只返回一行，且 CON_ID 与目标PDB完全匹配。如果查到多条记录，说明权限边界可能出问题了。

授权必须在PDB内完成，且仅限本地权限

PDB层级的权限有个天然约束：它不具备跨容器传播的能力。在PDB中执行 GRANT，影响范围严格限制在当前容器。如果在授权时试图用 CONTAINER=ALL，系统会毫不客气地报 ORA-65047 错误。

可以授予的权限范围：像 CREATE SESSION、CREATE TABLE、UNLIMITED TABLESPACE 这类本地系统权限，都是合规的。预定义角色如 RESOURCE 也能授予，但其包含的权限仅在本PDB生效。值得特别注意的是，DBA 角色在PDB里不能用，尝试授权会抛出 ORA-01917: user or role 'DBA' does not exist。

想检查具体授予了哪些权限，查本地视图即可：SELECT * FROM DBA_SYS_PRIVS WHERE GRANTEE = 'U1'。注意这里的视图是 DBA_*，不是 CDB_*。

删除用户前务必确认当前容器

这是个很容易被忽视但后果极其严重的问题。在 CDB$ROOT 中执行 DROP USER u1 CASCADE，对Oracle 12.2及以后版本来说，默认会级联删除所有PDB中同名的LOCAL用户。这就意味着，如果不小心在根容器执行了这条命令，可能多个业务库的用户同时消失，业务瞬间失联。

安全做法其实很简单：先通过 ALTER SESSION SET CONTAINER = target_pdb 切换到目标PDB，再执行 DROP USER u1 CASCADE。删除后最好验证一下：SELECT COUNT(*) FROM CDB_USERS WHERE USERNAME = 'U1' AND CON_ID = (SELECT CON_ID FROM V$PDBS WHERE NAME = 'target_pdb')。返回0才是安全的。

千万别完全依赖 SHOW CON_NAME，这个命令在有些场景下不一定实时刷新。始终用 SYS_CONTEXT 函数来确认当前容器，更加可靠。

最后补充一个容易被忽略但确实存在的点：PDB用户不仅看不到其他PDB的对象，也看不到CDB$ROOT里的任何表。哪怕给用户授予了 SELECT_CATALOG_ROLE，也无法访问根容器的数据字典。这不是权限没给够，而是数据字典视图本身做了容器级别的隔离。所以在查本PDB的对象时，记住一个原则：始终使用 DBA_* 视图，别习惯性地去查 CDB_USERS。