Oracle JDBC连接TDE数据库必须显式启用SSL/TLS，因Wallet仅在SSL握手时加载ewallet.p12，否则报ORA-28374或ORA-28365；需配置Wallet路径、trustStore、TCPS协议URL及匹配TLS版本。
Oracle JDBC连接TDE数据库时必须显式启用SSL/TLS
启用了透明数据加密（tde）的oracle数据库，本身不强制要求网络加密，但tde密钥常通过oracle wallet管理，而wallet默认只在客户端启用ssl连接时才自动加载加密凭据。如果跳过ssl配置，ora-28374（找不到已加载的主密钥）或ora-28365（wallet未打开）错误几乎必然出现。
关键点是：TDE ≠ 网络加密，但JDBC驱动依赖SSL握手阶段触发Wallet加载流程。不配SSL，驱动根本不会尝试读取ewallet.p12。
- 必须使用
oracle.jdbc.ssl.WalletLocation指定Wallet路径，且该路径下需包含ewallet.p12和cwallet.sso - 必须设置
javax.net.ssl.trustStore和javax.net.ssl.trustStorePassword（即使自签名证书也要配） - JDBC URL中要显式加上
?oracle.net.ssl_server_dn_match=true，否则Wallet不生效 - 推荐用Oracle 21c+ JDBC驱动（
ojdbc11.jar），旧版对TDE+SSL组合支持不稳定
Wallet路径与权限问题比密码错误更常见
很多团队花几小时排查ORA-28365，最后发现是oracle.jdbc.ssl.WalletLocation指向了目录而非文件，或Linux下Java进程无权读取ewallet.p12（尤其当Wallet由DBA生成并设了严格umask）。
- Wallet路径必须是**目录路径**，不是文件路径；JDBC驱动会自动查找该目录下的
ewallet.p12 - 检查
ewallet.p12是否可被Java进程用户读取：ls -l /path/to/wallet/ewallet.p12 - 避免把Wallet放在
/tmp——某些JVM安全策略会阻止加载临时目录中的加密材料 - 如果用Spring Boot，
spring.datasource.hikari.data-source-properties里传Wallet参数时，注意YAML缩进和引号：键名必须是oracle.jdbc.ssl.WalletLocation，不能简写为walletLocation
连接URL中必须禁用服务名解析才能走SSL
Oracle默认用TNSNAMES.ora或ldap.ora解析连接别名，但这类解析绕过JDBC驱动的SSL初始化逻辑，导致Wallet不加载。必须改用Easy Connect Plus语法，并显式声明SSL模式。
正确示例：
你接手一个需求时，是不是经常这样："改一个小字段 → 结果把不相关的代码也改了"、"需求说得很模糊 → 做着做着发现跑偏了"、"数据库加个字段 → 上线才发现漏了数据兼容"、"做了个新功能 → 一个月后自己都忘了当时怎么设计的"、"写到一半被中断 → 再回来不知道从哪继续"；这个 Skill 就是专门解决这些问题的。 它会自动探测你的项目环境（JDK、Spring Boot、ORM、数据库、前端框架），记在
立即学习“Java免费学习笔记（深入）”；
jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=mydb.example.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=orcl)))
-
TCPS（不是TCP）是硬性要求，驱动据此启用SSL socket - 不能用
@mydb:2484/orcl这种简写，它会被降级为非SSL连接 - 端口必须是监听TCPS协议的端口（通常2484，非1521），由DBA在
listener.ora中配置SSL_HANDSHAKE_TIMEOUT - 若数据库启用了双向认证，还需配置
oracle.jdbc.ssl.ClientCert和oracle.jdbc.ssl.ClientKey
Driver版本与JVM TLS版本不匹配会导致静默失败
Oracle 19c+ TDE Wallet默认使用TLS 1.2+，而JDK 8u151以下默认TLS最高只到1.1。此时连接可能卡在握手阶段，日志里只有java.net.SocketTimeoutException，没有明确SSL错误。
- 检查JVM TLS支持：
java -XshowSettings:properties -version 2>&1 | grep ssl - 强制启用TLS 1.2：
-Dhttps.protocols=TLSv1.2 -Djdk.tls.client.protocols=TLSv1.2 - ojdbc11要求JDK 11+；若用JDK 8，必须用
ojdbc8.jar且升级到8u291+ - 不要在代码里调用
HttpsURLConnection.setDefaultHostnameVerifier(...)——这会干扰Oracle Wallet的DN匹配逻辑
Wallet加载和SSL握手是原子过程，任一环节权限、路径、协议、驱动版本出错，都会退回到明文连接尝试，然后因密钥不可用直接报ORA-28374。盯着这个错误码反查SSL配置链，比逐个试连接参数更高效。
