今天同事问了一个问题：“创建用户分配的权限是：grant connect,resource to user;，但是建立view的时候失败了，错误是权限不够，后来我给这个用户分配了创建view的权限，然后创建view才可以成功。我有个疑问就是为什么用户在自己的空间没办法直接建立view，还得增加创建view的权限才可以？”
我们知道，创建一个新用户时，网上各种的帖子包括书籍中经常用到一个grant connect,resource to user;，这样才能用这个用户登录数据库，那么这条语句的真正作用是什么呢？
1、首先，grant XXX to user;，grant是授权的作用，这里的XXX可以是一个角色role，也可以是权限，例如grant role to user;，或grant insert on table to user;。
MOS中给出的标准SQL语句：
创建角色：
create role <role name> [IDENTIFIED BY <password>/USING <package>/EXTERNALLY/GLOBALLY ];
赋予角色权限：
grant <object/system privilege> to <role name>;
从角色收回权限：
revoke <privilege> from <role name>;
将角色赋予另一个角色或用户：
grant <role> to <username or role> ;
2、其次，connect和resource是两个系统内置的角色，和dba是并列的关系。
参考一些帖子的说法，权限可以分为两类：
系统权限：系统规定用户使用数据库的权限。(系统权限是对用户而言)。
实体权限：某种权限用户对其它用户的表或视图的存取权限。(是针对表或视图而言的)。
接下来看系统权限，
DBA：拥有全部特权，是系统最高权限，只有DBA才可以创建数据库结构。
RESOURCE:拥有Resource权限的用户只可以创建实体，不可以创建数据库结构。
CONNECT：拥有Connect权限的用户只可以登录Oracle，不可以创建实体，不可以创建数据库结构。
对于普通用户：授予connect, resource权限。
对于DBA管理用户：授予connect，resource, dba权限。
且系统权限只能由DBA用户授出：sys, system(最开始只能是这两个用户)。普通用户通过授权可以具有与system相同的用户权限，
但永远不能达到与sys用户相同的权限，system用户的权限也可以被回收。
另外，对于WITH ADMIN OPTION级联授权的问题，
1）如果使用WITH ADMIN OPTION为某个用户授予系统权限，那么对于被这个用户授予相同权限的所有用户来说，取消该用户的
系统权限并不会级联取消这些用户的相同权限。
2）系统权限无级联，即A授予B权限，B授予C权限，如果A收回B的权限，C的权限不受影响；系统权限可以跨用户回收，即A可以
直接收回C用户的权限。
3、证明下为什么resource和connect的角色不能创建视图。
SQL> select role, count(*) from role_sys_privs group by role;
ROLE COUNT(*)
------------------------------ ----------
EXP_FULL_DATABASE 8
DBA 160
SCHEDULER_ADMIN 6
RESOURCE 8
IMP_FULL_DATABASE 68
CONNECT 1
可以看到RESOURCE和CONNECT具有的权限个数。
下面看看各自都有什么权限：
SQL> select grantee,privilege from dba_sys_privs where grantee='RESOURCE' order by privilege;
GRANTEE PRIVILEGE
------------------------------ ----------------------------------------
RESOURCE CREATE CLUSTER
RESOURCE CREATE INDEXTYPE
RESOURCE CREATE OPERATOR
RESOURCE CREATE PROCEDURE
RESOURCE CREATE SEQUENCE
RESOURCE CREATE TABLE
RESOURCE CREATE TRIGGER
RESOURCE CREATE TYPE
8 rows selected.
SQL> select grantee,privilege from dba_sys_privs where grantee='CONNECT' order by privilege;
GRANTEE PRIVILEGE
------------------------------ ----------------------------------------
CONNECT CREATE SESSION
结果不言自明了，CREATE VIEW权限并不在这两个角色中，因此需要额外grant CREATE VIEW to user;，才能让这用户可以创建视图。往往实验是最好的老师，这次又证明了这点。
