Java连接Oracle SSL握手失败主因是JVM truststore缺失或过期中间CA证书，需用openssl抓取完整证书链并导入$JAVA_HOME/jre/lib/security/cacerts，同时确认Oracle Wallet中证书未过期。
直接结论：不是证书“过期”本身让java连不上oracle，而是jvm校验时发现证书链里某张证书（通常是中间ca或根ca）已过期，或根本不在truststore中——得从目标库真实导出证书链，再导入到你运行java应用的jvm所用的cacerts里。
为什么Java报“CertificateExpiredException”但浏览器能正常访问？
浏览器自带庞大且自动更新的根证书库，还能缓存中间证书、容忍部分过期中间CA；而Java JVM只认$JAVA_HOME/jre/lib/security/cacerts里的证书，且校验更严格。Oracle 19c若配置了自签名或私有CA签发的SSL证书，一旦其中任意一级（比如中间CA证书）在cacerts里缺失或已过期（例如NotAfter早于2026年6月23日），JVM就会抛CertificateExpiredException或PKIX path building failed。
怎么确认到底是哪张证书过期？
别猜，用openssl直连数据库端口抓链：
- 执行
openssl s_client -connect your-db-host:1521 -showcerts /dev/null | openssl x509 -noout -dates，看每张证书的notAfter时间 - 若输出多段
-----BEGIN CERTIFICATE-----，说明含中间CA；逐段保存并分别查日期：openssl x509 -in cert1.pem -noout -dates - 重点检查中间CA证书——它常被忽略，且有效期比服务器证书短得多，2024–2025年签发的很多中间CA证书已在2026年过期
导入证书前必须做三件事
否则导入后依然失败：
你接手一个需求时，是不是经常这样："改一个小字段 → 结果把不相关的代码也改了"、"需求说得很模糊 → 做着做着发现跑偏了"、"数据库加个字段 → 上线才发现漏了数据兼容"、"做了个新功能 → 一个月后自己都忘了当时怎么设计的"、"写到一半被中断 → 再回来不知道从哪继续"；这个 Skill 就是专门解决这些问题的。 它会自动探测你的项目环境（JDK、Spring Boot、ORM、数据库、前端框架），记在
- 确认Java应用实际用的是哪个JDK：
ps aux | grep java或查启动脚本里的JAVA_HOME，别默认改/usr/lib/jvm/java-8-openjdk-amd64却运行在java-17-amazon-corretto上 - 检查系统时间是否准确：
date命令输出必须是2026年6月23日左右，偏差超3分钟就会误判证书过期 - 确认JDBC URL启用SSL：
jdbc:oracle:thin:@//host:1521/service?oracle.net.ssl_version=1.2，没加这个参数，驱动可能跳过SSL校验，掩盖问题
导入证书的实操要点
只导入服务器证书不够，中间CA必须一并导入（顺序无关，但别漏）：
立即学习“Java免费学习笔记（深入）”；
- 用
keytool -importcert -file intermediate.crt -alias oracle-intermediate -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit - 再导入服务器证书：
keytool -importcert -file server.crt -alias oracle-db -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit - 如果提示
KeyStore has been modified但连接仍失败，大概率是中间CA证书本身已过期——此时必须联系DBA更新Oracle Wallet里的证书链，而非在Java侧硬导
真正卡住的地方往往不是Java端操作，而是Oracle 19c的Wallet里那张中间CA证书早就过了NotAfter时间，但DBA没重签也没通知。动手前先找DBA要最新的fullchain.pem，而不是沿用去年导出的旧证书文件。
