OracleCredential 不支持 Active Directory 域认证，因其仅封装用户名/密码，不集成 Windows 安全上下文或 Kerberos；AD 认证需通过外部身份验证（如 sqlnet.ora 配置 KERBEROS5 并使用 Uid=/），此时 Credential 属性必须为空。
不支持直接通过 credential 属性实现 active directory 域认证（即 windows 集成认证）。 oracle.manageddataaccess.client 的 oraclecredential 类型仅封装用户名/密码凭据，不接受 kerberos 票据、windows security context 或 ad 域令牌。它本质上是纯密码式认证的抽象层，与 .net 的 system.security.principal.windowsidentity 无集成路径。
为什么 Credential 属性无法用于 AD 认证
该属性设计目标明确：仅用于显式传递 username + password 组合（或加密后的等价物），底层仍走 Oracle 的传统密码验证流程。即使你构造一个 OracleCredential 实例并赋值给 Credential，驱动仍会将其序列化为连接字符串中的 User Id=xxx;Password=yyy 形式发送——这与 AD 认证所需的 SSPI/Kerberos 协商机制完全无关。
-
Credential属性在连接打开后不可修改，且一旦连接字符串中已含User Id或Password，再设该属性会抛InvalidOperationException - Oracle.ManagedDataAccess 不读取 Windows 当前登录上下文，也不调用
AcquireCredentialsHandle或InitializeSecurityContext - 其内部未链接到 Windows SSPI 接口，也未提供类似 SQL Server 的
Integrated Security=true开关
AD 认证在 Oracle.ManagedDataAccess 中的可行路径
若你确实需要从 .NET 应用连接 Oracle 并使用 AD 身份（例如通过 Kerberos），唯一受支持的方式是启用 Oracle 的 外部身份验证（External Authentication），并依赖 Oracle 客户端底层（如 sqlnet.ora 配置）完成 Kerberos 协商——此时应用层无需、也不能操作 Credential 属性。
对设计或页面进行 WCAG 2.1 AA 无障碍审计。触发关键词：“audit accessibility”、 “check a11y”、 “is this accessible?” 或在审查设计时使用。
- 连接字符串中必须省略
User Id和Password，改用Uid=/（注意斜杠）表示外部认证 - 确保客户端机器已正确配置 Kerberos：有有效的
krb5.conf（Linux/macOS）或注册表/环境变量（Windows），且已获取 TGT（kinit或 Windows 自动票据） - Oracle 客户端的
sqlnet.ora必须包含：SQLNET.AUTHENTICATION_SERVICES = (KERBEROS5)；禁用(NTS)（NTS 是 Windows 本地安全机构，非 AD 域） - 数据库端需配置
REMOTE_OS_AUTHENT=FALSE、OS_AUTHENT_PREFIX=""，并创建对应外部用户：CREATE USER ops$alice IDENTIFIED EXTERNALLY;
常见错误现象与绕过陷阱
试图强行把 Windows 凭据塞进 Credential 会导致静默失败或 ORA 错误，而非预期的域登录。
- 设置
Credential后仍收到ORA-01017: invalid username/password：说明驱动未走外部认证，仍在尝试密码校验 - 连接字符串含
Uid=/却报ORA-12641: TNS: Authentication service failed to initialize：sqlnet.ora 缺少KERBEROS5或 Kerberos 环境未就绪 - 误以为
Persist Security Info=true能“暴露”域凭据：它只影响Credential属性 getter 是否返回已设的密码对象，对 AD 认证无意义 - 混淆
OracleCredential与NetworkCredential：后者是 .NET HTTP/FTP 场景用的，Oracle 驱动完全不识别
真正关键的不是代码里怎么设 Credential，而是整个链路是否脱离密码流程——从客户端 Kerberos 配置、sqlnet.ora 设置，到数据库用户定义和网络策略，任一环断裂都会让 AD 认证失效。而 Credential 属性本身，在 AD 场景下应保持未设置状态。
