如何批量导出Oracle用户及权限配置

必须组合Data Pump元数据导出与数据字典查询：用expdp FULL=Y CONTENT=METADATA_ONLY配合INCLUDE=USER,ROLE,ROLE_GRANT,SYSTEM_GRANT,OBJECT_GRANT,TABLESPACE_QUOTA,PROFILE导出完整用户及权限；若无Data Pump权限，则需通过DBA_SYS_PRIVS、DBA_ROLE_PRIVS、DBA_TAB_PRIVS等视图手工拼SQL，注意大小写、引号、DEFAULT_ROLE和PROFILE缺失风险。

批量导出 Oracle 用户及权限配置，不能靠单条函数或一次 expdp 命令搞定。必须组合元数据导出 + 数据字典查询，否则必然漏掉 CREATE SESSION、默认角色、表空间配额、PROFILE 或密码哈希等关键项——导入后用户可能连不上库。

用 Data Pump 元数据导出用户账户和四类权限

这是最稳的批量路径，前提是已有 EXP_FULL_DATABASE 权限且 DATA_PUMP_DIR 可写。

1. FULL=Y 是硬性前提，否则 INCLUDE 过滤无效
2. 必须显式列出全部五类关键元数据：USER（含密码哈希、状态、表空间）、ROLE、ROLE_GRANT、SYSTEM_GRANT、OBJECT_GRANT；漏掉 SYSTEM_GRANT 就没有 CREATE SESSION
3. TABLESPACE_QUOTA 和 PROFILE 要额外加进 INCLUDE，否则新用户建表会报 ORA-01536，或密码策略不一致导致立即过期
4. 命令示例（注意换行符和反斜杠是 shell 要求）：

   expdp '/ as sysdba' FULL=Y CONTENT=METADATA_ONLY INCLUDE=USER,ROLE,ROLE_GRANT,SYSTEM_GRANT,OBJECT_GRANT,TABLESPACE_QUOTA,PROFILE DIRECTORY=DATA_PUMP_DIR DUMPFILE=user_meta_full.dmp LOGFILE=user_meta_full.log

用 SQL*Plus 批量生成可执行 SQL 脚本

当无法用 Data Pump（比如只给查询权限），就得手动拼 SQL。核心是查清三张视图并处理大小写与引号。

1. 用户名必须全大写传参，否则 DBA_USERS 查询返回空；对象名如带双引号（"MyTable"）必须保留，否则 GRANT 会报 ORA-00942
2. 系统权限从 DBA_SYS_PRIVS 查，但要过滤 ADMIN_OPTION = 'YES' 的条目——它决定能否转授，漏掉会影响下游授权链
3. 角色权限查 DBA_ROLE_PRIVS，注意 DEFAULT_ROLE = 'YES' 的才生效，否则即使授了 CONNECT，登录后也无 CREATE SESSION
4. 对象权限查 DBA_TAB_PRIVS，但列级权限（如 GRANT UPDATE(name) ON emp）需额外查 DBA_COL_PRIVS 补全
5. 导出前必设：SET LONG 100000（防 CLOB 截断）、SET PAGESIZE 0（去页眉）、SET TRIMSPOOL ON（去尾空格）

为什么 DBMS_METADATA.GET_GRANTED_DDL('OBJECT_GRANT', 'U1') 不够用

这个函数常被误当成“万能权限导出”，实际它只返回对象级授权语句，且有严重局限：

1. 调用 GET_GRANTED_DDL('SYSTEM_GRANT', 'U1') 会直接报 ORA-31600: invalid object type SYSTEM_GRANT，根本不可用
2. 它不返回角色定义本身（如 CREATE ROLE connect），只返回 GRANT CONNECT TO "U1"，若目标库没这个角色，脚本执行失败
3. 不包含 ALTER USER U1 DEFAULT ROLE ALL 这类语句，缺了这句，哪怕授了 CONNECT，登录后角色也不激活
4. 对多表空间配额只返回第一条（ROWNUM = 1），若用户在 USERS 和 INDEX_TBS 都有配额，后者会被丢弃

容易被忽略的三个硬伤点

批量导出时，这三个点最容易导致脚本在目标库执行失败，且错误信息不直观：

1. DEFAULT_ROLE：不是所有角色都会自动生效，必须显式 ALTER USER ... DEFAULT ROLE，否则权限“存在但不可用”
2. PROFILE：如果源库用户用的是非 DEFAULT profile（如 APP_PROFILE），而目标库没创建同名 profile，CREATE USER 会报 ORA-02380
3. 密码哈希兼容性：12c+ 默认用 12C 算法生成哈希，若目标库是 11g，CREATE USER ... IDENTIFIED BY VALUES 会因算法不识别而报 ORA-00922