必须用ALTER PROFILE修改PASSWORD_LIFE_TIME为90天，该策略仅对用户下次登录生效；已过期用户无法登录，须DBA重置密码。需先查用户实际绑定的profile及对应限制，而非默认profile，避免策略未生效。
直接结论：必须用 alter profile 修改 password_life_time 为 90，且该策略只对下次登录生效；已过期用户无法登录，除非 dba 重置密码。
查清楚当前 profile 和实际生效的限制
别默认“改了 DEFAULT 就全生效”——用户可能绑定了别的 profile。先确认目标用户的 profile：
SELECT username, profile FROM dba_users WHERE username = 'YOUR_USER';- 再查该 profile 的实际限制：
SELECT resource_name, limit FROM dba_profiles WHERE profile = 'YOUR_PROFILE' AND resource_name = 'PASSWORD_LIFE_TIME';
注意：dba_profiles 中显示 UNLIMITED 或数字（如 180）才是真实值；DEFAULT profile 不代表所有用户都用它。
执行 ALTER PROFILE 设置 90 天有效期
修改命令本身简单，但有三个关键点容易出错：
- 必须用
SYSDBA或具有ALTER PROFILE权限的用户执行 - 命令中不能漏掉
LIMIT关键字：ALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME 90; - 如果目标 profile 是自定义的（比如
APP_USER_PROFILE），必须明确写出来，不能只改 DEFAULT
改完后立即查一遍验证：SELECT limit FROM dba_profiles WHERE profile = 'DEFAULT' AND resource_name = 'PASSWORD_LIFE_TIME'; —— 输出应为 90，不是 180 或 UNLIMITED。
为什么改完还是能用旧密码登录？
因为 PASSWORD_LIFE_TIME 不是定时检查器，而是登录时触发的硬拦截。表现如下：
- 用户 A 密码创建于 2026-01-28，今天是 2026-04-28 → 已满 90 天，但只要没登出，会话仍可用
- 用户 A 下次尝试新连接时，Oracle 拦截并强制要求改密，报错
ORA-28001: the password has expired - 宽限期（
PASSWORD_GRACE_TIME）需额外设置，否则一过期就完全拒绝登录
若要加宽限期（比如过期后还能登 7 天并提醒改密），命令是：ALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME 90 PASSWORD_GRACE_TIME 7;
已过期用户怎么救？不能等他自己登
一旦用户状态变成 EXPIRED 或 EXPIRED(GRACE)，他连 SQL*Plus 都进不去。DBA 必须手动干预：
- 查过期用户：
SELECT username, account_status, expiry_date FROM dba_users WHERE account_status LIKE '%EXPIRED%'; - 重置密码（哪怕设回原密码）：
ALTER USER your_user IDENTIFIED BY your_old_password; - 如果账户还被锁了，顺手解锁：
ALTER USER your_user ACCOUNT UNLOCK;
注意：IDENTIFIED BY 后的密码必须重新输入，不能省略；即使和原来一样，这步也绕不开——这是 Oracle 强制刷新密码生命周期状态的唯一方式。
最常被忽略的一点：改了 profile 后不查用户实际绑定的 profile，也不查用户当前 account_status，就以为“设了 90 天=万事大吉”。结果上线后第一个过期用户卡在登录页，才发现他用的是 MONITORING_PROFILE，而你只改了 DEFAULT。
