Oracle 19c不支持SSL证书直接替代密码登录，需通过SSL加密通道、客户端证书、Oracle Wallet及IDENTIFIED EXTERNALLY组合实现外部认证；ORA-12637表示SSL握手失败，须检查sqlnet.ora中SSL配置、证书链信任及Wallet路径权限，并确保os_authent_prefix清空以避免DN匹配冲突。
oracle 19c 不支持直接用 ssl/tls 证书“替代密码”做数据库用户登录（即没有类似 postgresql 的 cert 认证模式）。所谓“基于 ssl 证书的用户身份验证”，实际是通过 ssl 加密通道 + 客户端证书 + oracle wallet + 外部身份验证（identified externally）组合实现的，本质仍是操作系统级或 pki 级外部认证，ssl 本身只负责传输加密和客户端证书传递。
为什么 CONNECT / 报 ORA-12637？先确认 SSL 握手是否成功
ORA-12637 是 SSL/TLS 协商失败的通用错误，不是认证失败。它卡在连接建立前，根本没走到“验证用户名”那步。
- 检查服务端
sqlnet.ora是否启用了 SSL：必须有SQLNET.ENCRYPTION_SERVER = required或accepted，且SSL_VERSION = 1.2（19c 默认不兼容 TLS 1.0/1.1） - 客户端
sqlnet.ora必须配置SSL_SERVER_DN_MATCH = ON且信任服务端证书链；若服务端用自签名证书，客户端 Wallet 必须已导入该 CA 或根证书 - 用
tnsping只能测连通性，不能测 SSL；改用openssl s_client -connect host:port -showcerts直接抓握手过程，看是否卡在Verify return code
客户端证书怎么映射到数据库用户？靠 DN 字段匹配
启用客户端证书认证后，Oracle 从证书的 Distinguished Name（DN）字段提取标识，再与数据库中 CREATE USER ... IDENTIFIED EXTERNALLY 创建的用户做字符串匹配——不是比公钥，也不是比证书指纹。
- 生成客户端证书时，
-dn参数必须明确、简洁、可预测，例如："CN=alice,OU=dev,O=myorg"；避免空格、逗号转义、特殊字符 - 数据库用户必须严格按此 DN 创建：
CREATE USER "CN=alice,OU=dev,O=myorg" IDENTIFIED EXTERNALLY;（注意双引号，DN 含逗号时必须引起来） - 别指望自动截取 CN 部分——Oracle 默认全量匹配整个 DN 字符串；如需只认 CN，得在服务端
sqlnet.ora加SSL_CLIENT_AUTHENTICATION = TRUE并配合SSL_USER_CN_MATCH = TRUE（19c 支持，但文档极少提）
Wallet 配置错一个路径，整个链路就断
服务端 Wallet 存放服务端证书+私钥，客户端 Wallet 存放信任的 CA 证书（用于验证服务端）和自己的客户端证书+私钥（用于向服务端证明身份）。两者缺一不可，且路径必须被 Oracle 进程读取到。
- 服务端 Wallet 路径由
ENCRYPTION_WALLET_LOCATION参数指定，但 SSL 通信用的是WALLET_LOCATION（在sqlnet.ora中），两者不同，别混用 - Wallet 必须用
orapki wallet create -auto_login创建，否则 Oracle 启动时不自动加载，监听器无法读私钥，SSL 握手直接失败 - 检查权限：
$ORACLE_HOME/network/admin/sqlnet.ora中的WALLET_LOCATION = (SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/path/to/wallet)))，该目录必须被oracle用户可读，且 Wallet 文件（cwallet.sso）不能被组/其他用户写
os_authent_prefix 和 SSL 外部认证共存时的冲突点
当同时启用操作系统外部认证（ops$ 前缀）和 SSL 客户端证书认证时，Oracle 会优先尝试 OS 认证，失败后才走 SSL；但一旦 os_authent_prefix 非空，它会把证书 DN 当作系统用户名去拼前缀，导致匹配失败。
- 如果只用 SSL 证书认证，务必清空
os_authent_prefix：ALTER SYSTEM SET os_authent_prefix='' SCOPE=SPFILE;，然后重启实例 - 不清空的话，Oracle 会试图查找名为
ops$CN=alice,OU=dev,O=myorg的用户——这显然非法（含等号、逗号），报 ORA-01994 - 验证是否生效：
SELECT VALUE FROM V$PARAMETER WHERE NAME = 'os_authent_prefix';返回空字符串才算到位
真正难调的从来不是命令怎么敲，而是 Wallet 权限、DN 字符串格式、参数作用域（SPFILE vs memory）、以及 Oracle 在哪一步悄悄切换了认证路径。尤其是 os_authent_prefix 和 SSL_USER_CN_MATCH 这两个参数，文档语焉不详，但它们决定你写的用户名到底跟证书里哪一段比。
