如何通过EF Core Code-first创建数据库用户并授予数据库对象相关权限

EF Core的ModelBuilder核心作用是配置实体与数据库对象的映射关系，用户创建、权限授予属于数据库运维层面的操作，不属于ORM映射的范畴，因此没有对应的内置扩展方法，你可以通过原生SQL配合EF Core提供的SQL执行接口实现需求，具体方案如下：

EnsureCreated只会创建模型对应的表、序列等业务对象，不会处理用户和权限逻辑，你可以提前用高权限账号（如SYS、SYSTEM）执行权限相关SQL，再执行业务对象创建逻辑，可集成到代码中的完整流程如下：

• 先初始化高权限临时DbContext，执行用户创建和系统权限授予逻辑：

// 高权限连接字符串，SYS账号连接需要额外指定DBA权限标识
var sysConnString = "Data Source=XE;User Id=SYS;Password=你的SYS账号密码;DBA Privilege=SYSDBA;";
using var sysDbContext = new OracleDbContext(new DbContextOptionsBuilder<OracleDbContext>().UseOracle(sysConnString).Options);
// 创建业务用户
sysDbContext.Database.ExecuteSqlRaw(@"
    CREATE USER 业务用户名 IDENTIFIED BY 业务用户密码 
    DEFAULT TABLESPACE USERS 
    TEMPORARY TABLESPACE TEMP
");
// 授予系统权限
sysDbContext.Database.ExecuteSqlRaw("GRANT CREATE SESSION, CREATE TABLE, CREATE SEQUENCE TO 业务用户名");
// 授予表空间配额，避免创建表时报无权限错误
sysDbContext.Database.ExecuteSqlRaw("ALTER USER 业务用户名 QUOTA UNLIMITED ON USERS");

• 再用业务用户的连接字符串初始化业务DbContext，执行dbContext.Database.EnsureCreated()即可，此时创建的所有对象都属于当前业务用户，无需额外授予对象权限；如果有跨用户访问需求，可在EnsureCreated执行完成后，再通过高权限DbContext执行对象授权SQL即可，示例：

sysDbContext.Database.ExecuteSqlRaw("GRANT SELECT, INSERT, UPDATE, DELETE ON 业务用户名.表名 TO 其他用户名");

如果你使用迁移而非EnsureCreated管理表结构，可以直接在迁移文件中嵌入自定义SQL实现需求：

• 生成初始迁移后，打开迁移文件，在Up方法的最开头添加用户创建、权限授予逻辑：

protected override void Up(MigrationBuilder migrationBuilder)
{
    // 注意：执行迁移时需要使用高权限账号连接，才能成功执行用户创建语句
    migrationBuilder.Sql(@"
        DECLARE
            USER_EXISTS NUMBER;
        BEGIN
            SELECT COUNT(*) INTO USER_EXISTS FROM ALL_USERS WHERE USERNAME = '业务用户名';
            IF USER_EXISTS = 0 THEN
                EXECUTE IMMEDIATE 'CREATE USER 业务用户名 IDENTIFIED BY 业务用户密码';
                EXECUTE IMMEDIATE 'GRANT CREATE SESSION, CREATE TABLE, CREATE SEQUENCE TO 业务用户名';
                EXECUTE IMMEDIATE 'ALTER USER 业务用户名 QUOTA UNLIMITED ON USERS';
            END IF;
        END;
    ");

    // 下方为EF Core自动生成的创建表、序列等对象的代码
    // ...
}

• 如果需要给其他用户授予已创建对象的权限，可在Up方法末尾、所有对象创建逻辑之后添加对应的授权SQL即可，示例：

migrationBuilder.Sql("GRANT SELECT ON 你的表名 TO 其他用户");
migrationBuilder.Sql("GRANT SELECT, USAGE ON 你的序列名 TO 其他用户");

• 所有涉及创建用户、授予权限的操作，都需要使用拥有DBA权限的账号执行，普通业务账号无对应操作权限
• 建议用户创建逻辑添加重复判断，避免重复执行时报错，上述迁移示例中已加入ALL_USERS视图判断逻辑，可直接复用

内容的提问来源于stack exchange，提问作者AxD