Oracle JDBC启用SSL必须先配置服务端：数据库需部署有效SSL证书，监听器（listener.ora）启用TCPS协议，sqlnet.ora设置SSL_VERSION=1.2，且执行ALTER SYSTEM SET SSL_CLIENT_AUTHENTICATION=TRUE；Java客户端须用TCPS URL、oracle.net.ssl_server_dn_match=true，并通过Wallet或trustStore信任证书。
Oracle JDBC连接启用SSL的必要前提
不配置服务端就直接改java客户端，十有八九连不上。oracle的ssl不是“开个开关就行”的功能，它依赖数据库实例已部署有效的ssl证书，并且监听器（listener.ora）和数据库参数（sqlnet.ora）已启用tcps协议支持。常见错误现象是java端抛出 io exception: connection reset 或 javax.net.ssl.sslhandshakeexception，但根本原因往往在数据库侧没准备好。
- 确认数据库监听器已配置TCPS端口（如1522），并在
listener.ora中包含(PROTOCOL=TCPS)地址 - 检查
sqlnet.ora是否设置了SSL_VERSION = 1.2（Oracle 12c+ 推荐，旧版本可能不支持TLS 1.2） - 数据库需启用SSL验证：执行
ALTER SYSTEM SET SSL_CLIENT_AUTHENTICATION = TRUE SCOPE=BOTH;（如需双向认证） - Java客户端使用的JDK必须信任数据库服务器证书——通常需将数据库CA证书导入JDK的
$JAVA_HOME/jre/lib/security/cacerts，用keytool -importcert
Java端JDBC URL中启用SSL的关键参数
Oracle JDBC驱动（ojdbc8.jar 及以上）通过URL参数控制SSL行为，不能只靠系统属性或单独配置SSLSocketFactory。最简可用的SSL连接URL长这样：
jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=mydb.example.com)(PORT=1522))(CONNECT_DATA=(SERVICE_NAME=orcl)))
关键点在于把 PROTOCOL=TCP 换成 PROTOCOL=TCPS，并确保端口对应监听器的TCPS端口。除此之外，还需显式传入SSL相关属性：
- 必须设置
oracle.net.ssl_server_dn_match=true（否则默认false，跳过证书域名校验，不安全） - 若服务端证书由私有CA签发，需指定信任库：
javax.net.ssl.trustStore=/path/to/truststore.jks和javax.net.ssl.trustStorePassword=changeit - 不要设
oracle.net.ssl_version在URL里——它已被废弃，应统一在sqlnet.ora控制 - 避免混用：不要同时在URL里写
?user=xxx&password=yyy和用Properties传凭证，优先用Properties方式，更可控
使用Oracle Wallet替代JKS管理证书（推荐生产环境）
JKS方式需要维护文件路径、密码、权限，容易在容器或云环境中出问题。Oracle Wallet是更贴近数据库生态的方案，Java端通过 oracle.net.wallet_location 指向wallet目录即可复用同一套证书体系。
- 创建wallet命令：
mkstore -wrl /path/to/wallet -create，再用mkstore -wrl ... -add trusted_cert导入服务端证书 - Wallet目录下必须包含
cwallet.sso（含私钥时）或ewallet.p12（不含私钥时），Java只读取cwallet.sso - JDBC URL中添加参数：
oracle.net.wallet_location=(SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/path/to/wallet))) - 注意权限：Java进程必须对wallet目录有读权限，且wallet不能被其他用户写入（否则Oracle驱动拒绝加载）
- Wallet方式下，无需设置
javax.net.ssl.trustStore等JVM级SSL参数，避免与应用其他HTTPS调用冲突
验证SSL是否真正生效的实操方法
别只看连接成功就认为SSL启用了。很多情况是URL写了TCPS，但服务端未响应TCPS请求，驱动悄悄fallback到TCP（尤其旧版ojdbc），表面连得上，实际走明文。
立即学习“Java免费学习笔记（深入）”；
- 抓包确认：用
tcpdump或 Wireshark 过滤目标端口，检查是否为TLS握手流量（Client Hello / Server Hello），而非普通TNS数据包 - 查看Oracle会话信息：连接后执行
SELECT SYS_CONTEXT('USERENV', 'NETWORK_PROTOCOL') FROM DUAL;，返回值必须是tcps，不是tcp - 驱动日志：启用JDBC日志（
-Doracle.jdbc.Trace=true），搜索关键词SSL和TCPS，确认建立的是SSL Socket - 错误兜底：临时禁用数据库TCPS监听，如果Java连接立刻报错（而不是延迟超时），说明之前确实走的是TCPS
Wallet路径权限、服务端SSL_VERSION与JDK TLS能力不匹配、以及驱动版本过低（如用ojdbc6连19c强制TLS 1.2）——这些细节一旦漏掉，调试起来比写代码还耗时间。
