ODP.NET需显式配置Encryption=required和CryptoProtocol=TLSv1.2（Core驱动）或依赖.NET运行时（Managed驱动）才能启用TLS加密，仅数据库端配SSL无效。
Oracle ODP.NET 连接字符串里怎么开 TLS 加密
odp.net 默认不启用网络传输加密，必须显式配置 encryption 和 cryptoprotocol 才能强制走 tls。光靠数据库端配 ssl 不够，客户端连接字符串没对上，照样明文传密码和数据。
常见错误现象：ORA-28764: No valid SSL/TLS protocol specified 或连接成功但 Wireshark 抓包仍可见明文 SQL；根本原因是只设了 Encryption=required 却漏了协议版本。
-
Encryption=required：强制加密，失败则连接中断（推荐用于生产） -
CryptoProtocol=TLSv1.2：必须指定具体协议，TLSv1.3在 ODP.NET Core 5+ 才支持，旧版只认TLSv1.2 - 不要用
SSL字样——ODP.NET 已弃用 SSL，写SSL=true会静默忽略 - 证书验证默认开启，若用自签名证书，需额外加
TrustStore=/path/to/truststore.jks或设ValidateCertificate=false（仅测试环境）
示例连接字符串："Data Source=(DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=mydb)(PORT=1521))(CONNECT_DATA=(SERVICE_NAME=ORCL)));User Id=scott;Password=tiger;Encryption=required;CryptoProtocol=TLSv1.2;"
ODP.NET Core 和 ODP.NET Managed 的加密参数差异
两个驱动的配置项名称和行为不一致，混用会导致加密失效。Managed Driver（Oracle.ManagedDataAccess）不支持 CryptoProtocol，全靠底层 .NET TLS 栈；Core Driver（Oracle.ManagedDataAccess.Core）才真正解析该参数。
- Managed Driver：只认
Encryption=required，协议由运行时 .NET 版本决定（.NET 5+ 默认 TLSv1.2+，.NET Framework 4.6.1+ 需手动开启） - Core Driver：支持
CryptoProtocol=TLSv1.2，且可设UseOci= false确保走纯托管栈 - 若项目同时引用两者，NuGet 包冲突常导致
CryptoProtocol被忽略——检查 bin 目录下实际加载的是哪个Oracle.ManagedDataAccess.dll - Windows 上用 OCI 驱动（
Oracle.DataAccess）无法通过连接字符串控制加密，必须改注册表或 oci.dll 配置文件
为什么连上了还是被扫出弱加密（如 TLS_RSA_WITH_AES_128_CBC_SHA）
ODP.NET 自身不控制具体 cipher suite，它依赖操作系统或 .NET Runtime 提供的 TLS 实现。即使设了 CryptoProtocol=TLSv1.2，若系统允许老旧 cipher，中间设备仍可能协商降级。
- Windows Server 2012 R2 及更早默认启用 RSA 密钥交换 cipher，存在 BEAST 风险；需通过组策略禁用
TLS_RSA_WITH_*类 cipher - .NET 6+ 可在代码中调用
System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12，但这只影响 WebRequest，不影响 ODP.NET - 最可靠方式：在 Oracle 客户端目录（如
%ORACLE_HOME%\network\admin\sqlnet.ora）加SSL_CIPHER_SUITES=(TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256)（需 Oracle 12.2+） - 验证是否生效：用
tnsping -ssl或抓包看 ServerHello 中的 cipher suite 字段
加密开启后连接超时或报 ORA-12537
ORA-12537: TNS:connection closed 是加密握手失败最典型的报错，不是网络不通，而是 TLS 协商卡在某一步。90% 情况下是证书链或时间同步问题。
- 数据库服务器证书必须包含完整链（含 intermediate CA），ODP.NET 不自动下载缺失中间证书
- 客户端和服务端系统时间偏差 > 5 分钟，TLS 握手直接拒绝（证书 notBefore/notAfter 校验失败）
- Linux 上若用 Oracle Instant Client，需确保
libaio和openssl版本匹配——例如 Instant Client 21c 要求 OpenSSL 1.1.1+，旧版 openssl 1.0.2 会静默失败 - 调试技巧：设环境变量
ORA_DEBUG=1，再运行程序，日志里会出现SSL handshake failed后的具体错误码
加密不是加个参数就完事的事，证书链完整性、协议版本对齐、cipher suite 控制、时间同步，四个点缺一不可。少查一个，就可能在压测时突然大批量断连。
