根本原因是TLS协议版本、加密套件或JCE策略不匹配：Java 8u31+默认禁用TLSv1.0/v1.1，而老旧Oracle仅支持TLSv1.0/v1.1；JCE限制强算法导致无共同cipher suite；证书链缺失中间CA引发PKIX错误。
java 8 连接 oracle 启用 ssl（tcps）时抛出 javax.net.ssl.sslhandshakeexception，**根本不是“证书没导入”这么简单——90% 的失败源于协议、加密套件或 jce 策略三者之一不匹配，而非证书本身有问题**。
确认是不是 TLS 协议版本不兼容
Java 8u31+ 默认禁用 TLSv1.0 和 TLSv1.1；而老旧 Oracle EBS 或自建 Oracle DB Listener 若只启用了 TLSv1.0/v1.1（未配 TLSv1.2），连接必败，报错常为 Received fatal alert: handshake_failure，日志里却看不到具体协商细节。
- 在 JDBC URL 中强制指定协议：
jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcps)(HOST=xxx)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=xxx)))?oracle.net.ssl_version=TLSv1.2 - 若仍失败，用
openssl s_client -connect host:port -tls1_1实测服务端实际支持的最低 TLS 版本 - 不要依赖“别人说开了 TLSv1.2”——Oracle Wallet 或 OHS 配置可能未真正生效，必须实测
检查 JCE 策略是否限制了加密强度
Java 8 早期版本（如 u161 之前）默认策略禁止 AES256、SHA256withRSA 等强算法，而 Oracle 12c+/19c 默认启用这些套件，导致握手时无共同 cipher suite 可选，直接报 handshake_failure。
- 下载对应 JDK 版本的 JCE Unlimited Strength Policy 文件（如
JCE8），替换$JAVA_HOME/jre/lib/security/local_policy.jar和US_export_policy.jar - 验证是否生效：运行
java -cp . TestJCE（含javax.crypto.Cipher.getInstance("AES/GCM/NoPadding")调用），不抛NoSuchAlgorithmException才算成功 - 注意：JDK 8u161+ 已默认启用无限强度策略，但部分企业定制版 JDK 仍可能被回退，需实测
导入证书必须从 Oracle 实例真实导出
别用浏览器导出、别用别人给的 truststore.jks、别信“已导入”的说法——Oracle Wallet 或 Listener 使用的证书链，往往包含中间 CA，而 JDK 默认 truststore 只有根 CA。漏掉中间证书，就会报 PKIX path building failed。
- 用
openssl s_client -connect host:port -showcerts抓全链（包括中间证书），保存为oracle-full-chain.pem - 逐个导入：先
keytool -importcert -file root.crt -alias root -keystore truststore.jks，再导入中间、最后是服务器证书 - JVM 启动参数必须显式指定：
-Djavax.net.ssl.trustStore=/path/to/truststore.jks -Djavax.net.ssl.trustStorePassword=changeit - 验证是否加载成功：加
-Djavax.net.debug=ssl:trustmanager，看日志中是否打印 “adding as trusted cert” 对应的 alias
绕过验证只是临时调试手段，切勿上生产
网上流传的 X509TrustManager 全信任实现，或 HostnameVerifier 返回 true，确实能让连接通——但等于把 HTTPS 降级成 HTTP，所有数据明文裸奔。一旦用于连接财务、HR 类 Oracle EBS 系统，合规审计直接不通过。
立即学习“Java免费学习笔记（深入）”；
- 仅限本地快速验证网络连通性，且必须加注释标注“DEBUG ONLY”，上线前删掉
- 真正要解决的是证书链完整性、协议对齐、加密能力匹配这三件事
- 最容易被忽略的点：Oracle JDBC Driver 版本必须 ≥ 12.2.0.1，旧驱动不识别
oracle.net.ssl_version参数，也不支持 TLSv1.2 完整握手流程
