Oracle 19c中ALTER USER的REPLACE子句失效问题咨询

核心问题出在权限上：

• 当执行ALTER USER ... REPLACE ...的用户拥有ALTER ANY USER系统权限（或者包含该权限的角色，比如DBA），Oracle会直接跳过旧密码的验证环节，不管REPLACE后面的旧密码是否正确，都会直接修改用户密码。
• 只有当用户以自身身份登录（且没有ALTER ANY USER这类高权限），执行修改自己密码的语句时，REPLACE子句才会生效，严格验证旧密码是否匹配。

验证步骤 #

1. 用myuser账号直接登录数据库，执行：

   ALTER USER myuser IDENTIFIED BY "bar" REPLACE "bad_password";
   

   这时候会提示旧密码错误，语句执行失败，和你预期的一致。
2. 切换到拥有DBA或ALTER ANY USER权限的账号执行同一条语句，密码会被直接修改，不会验证旧密码。

解决办法 #

• 应用服务器执行密码修改操作时，应该以要修改密码的用户自身身份连接数据库，再执行ALTER USER语句，这样REPLACE子句会正常验证旧密码。
• 如果必须用高权限账号操作，需要在应用代码里额外加一层旧密码验证：先尝试用该用户的旧密码登录数据库，验证通过后再执行修改密码的语句。

内容的提问来源于stack exchange，提问作者Kmus