查DBA_USERS不能仅凭ACCOUNT_STATUS过滤到期用户，必须结合EXPIRY_DATE和PROFILE配置判断；ACCOUNT_STATUS仅反映当前状态快照，EXPIRY_DATE才是关键时间戳，且需验证profile中PASSWORD_LIFE_TIME等设置。
查 dba_users 的 account_status 字段本身不能直接“过滤出所有到期用户”，因为这个字段不表示“密码即将到期”，只反映当前账户是否已过期或处于宽限期。真正要找“到期用户”，得结合 expiry_date 和 account_status 一起判断。
为什么 ACCOUNT_STATUS ≠ 到期时间
ACCOUNT_STATUS 是状态快照，不是时间预测。它只有几种取值：OPEN（可用）、EXPIRED(GRACE)（宽限期，还能登一次改密）、EXPIRED & LOCKED（已过期且被锁）。它不会告诉你“还有3天就过期”。EXPIRY_DATE 才是关键时间戳——但要注意它可能为 NULL（说明该用户没受 PASSWORD_LIFE_TIME 约束）。
查“即将到期”用户必须用 EXPIRY_DATE 过滤
想列出未来7天内密码将过期的用户，得用日期运算。注意：Oracle 的 EXPIRY_DATE 是 DATE 类型，可直接和 SYSDATE 比较。
SELECT username, account_status, expiry_date, profile FROM dba_users WHERE expiry_date BETWEEN SYSDATE AND SYSDATE + 7 ORDER BY expiry_date;- 结果里
ACCOUNT_STATUS = 'OPEN'的用户，就是“还没过期但快了”的典型；EXPIRED(GRACE)表示已经过期、正处在宽限期内 - 如果
expiry_date IS NULL，说明该用户所在 profile 的PASSWORD_LIFE_TIME是UNLIMITED或未设限，这类用户不会自动到期
常见误判：看到 EXPIRED(GRACE) 就以为还能拖一周
EXPIRED(GRACE) 不代表还有固定天数缓冲——它只表示用户**下一次成功登录后必须改密**，且宽限期长度由 profile 中的 PASSWORD_GRACE_TIME 决定（默认7天），但这个计时不是从 EXPIRY_DATE 开始，而是从第一次登录失败触发“过期提示”起算。更关键的是：
- 宽限期内用户仍可登录，但每次登录都会弹出改密提示；一旦退出，下次登录前若未改密，就可能变成
EXPIRED & LOCKED - 有些环境把
PASSWORD_GRACE_TIME设为 0，那EXPIRY_DATE一到，状态就直接跳成EXPIRED & LOCKED，中间不经过EXPIRED(GRACE) -
EXPIRY_DATE显示的是策略生效日，不是数据库记录的“上次改密时间”，所以无法反推用户多久没动过密码
别漏掉 profile 层级的隐性限制
用户是否真会到期，最终取决于其 profile 设置。即使 DBA_USERS 显示 EXPIRY_DATE 是明年，但如果 profile 被删了或 PASSWORD_LIFE_TIME 被动态改小，状态会立刻变化。检查方式：
- 先查用户 profile：
SELECT profile FROM dba_users WHERE username = 'SCOTT'; - 再查该 profile 的实际策略：
SELECT resource_name, limit FROM dba_profiles WHERE profile = 'DEFAULT' AND resource_name IN ('PASSWORD_LIFE_TIME', 'PASSWORD_GRACE_TIME'); - 特别注意：
limit = 'DEFAULT'表示继承数据库默认值，得去查dba_profiles中profile = 'DEFAULT'的那条记录，而不是假设它等于你本地印象里的“默认”
最易忽略的一点：EXPIRY_DATE 可能被手动更新过（比如 DBA 执行了 ALTER USER ... PASSWORD EXPIRE），它不再单纯反映 PASSWORD_LIFE_TIME 计算结果。所以看到期列表时，永远要带着 profile 配置一起验证，不能只信 DBA_USERS 里那一行数据。
