Oracle Wallet在Java中生效需同时满足三个硬性条件：JVM通过-Doracle.net.wallet_location和-Doracle.net.ssl_server_cert_dn加载绝对路径及精确DN，URL必须使用TCPS协议与完整DESCRIPTION结构，且Wallet须由mkstore创建、仅保留cwallet.sso。
Oracle Wallet 在 Java 项目中不是“配置一下就能用”的功能，它必须满足三个硬性条件才可能生效：JVM 正确加载 Wallet 路径、URL 显式启用 TCPS 协议、证书 DN 字符串完全匹配。缺一不可，否则会静默失败或报 ORA-28759、ORA-12546 等看似无关的错误。
Wallet 创建必须用 mkstore，别碰 cwallet.sso 文件
wallet 是 oracle 特定格式的加密容器，只能由 mkstore 工具生成，java 或 keytool 无法替代。常见错误是解压后手动编辑 cwallet.sso，结果驱动读取时直接抛 io error: invalid wallet type。
- 确保已安装与 JDBC 驱动版本匹配的 Oracle Instant Client（例如用
ojdbc8.jar就配 19c/21c client） - 执行
mkstore -wrl /path/to/wallet -create，输入并记住 Wallet 口令 - 再执行
mkstore -wrl /path/to/wallet -createCredential mydb user1 password1，其中mydb是 tnsnames.ora 中定义的服务别名或完整连接串 - 生产环境只保留
cwallet.sso；ewallet.p12未加密，仅用于本地调试，上线前删掉
JVM 启动参数是唯一有效入口
ojdbc.properties 和 Spring Boot 的 spring.datasource.hikari.data-source-properties 对 Wallet 完全无效——驱动初始化阶段早于连接池构建，这些配置根本不会被解析。
- 必须用 JVM 参数传入：
-Doracle.net.wallet_location=/abs/path/to/wallet（绝对路径！相对路径必失败） - 同时必须指定：
-Doracle.net.ssl_server_cert_dn="CN=wallet.example.com"（大小写、空格、逗号顺序必须和orapki wallet display -wallet /path/to/wallet输出的 Subject DN 完全一致） - 目录权限需满足：JVM 进程对
/path/to/wallet及其所有父目录都有x权限（否则报ORA-12546） - Docker 场景下，
ENTRYPOINT或CMD中必须显式带这些-D参数，不能只写在 Dockerfile ENV 里
JDBC URL 必须用 TCPS + 完整 DESCRIPTION 结构
即使 Wallet 加载成功，JDBC 默认仍走普通 TCP 协议，不会自动触发 SSL 握手。驱动只在 URL 明确要求时才使用 Wallet 里的证书和凭据。
- 正确格式：
jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=mydb.example.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=orcl))) - 端口必须是数据库监听器配置的 SSL 端口（通常是
2484，不是1521） - 不能简化为
jdbc:oracle:thin:@mydb.example.com:2484/orcl，这种写法会跳过 Wallet 解析 - URL 开头不能是
jdbc:oracle:thin:@mydb（传统模式），否则报ORA-01017，驱动根本没尝试用 Wallet
Spring Boot + HikariCP 的常见陷阱
HikariCP 不透传任何 Wallet 相关属性，data-source-properties 里塞 oracle.net.wallet_location 是白费力气。Wallet 加载发生在 DriverManager.getConnection() 之前，远早于 DataSource 初始化。
- 唯一可靠方式：启动命令里加 JVM 参数，例如
java -Doracle.net.wallet_location=/opt/wallet -Doracle.net.ssl_server_cert_dn="CN=mywallet" -jar app.jar - 如果用 Maven 打包运行，
mvn spring-boot:run时需额外加-Dspring-boot.run.jvmArguments="-Doracle.net.wallet_location=..." - 测试连接是否真走 Wallet：抓包看 TLS Client Hello 是否包含 Wallet 中证书的 CN；或临时把
cwallet.sso改名，看是否立刻报ORA-28759
mkstore 版本错、路径权限漏、DN 字符差一位、URL 少个括号，都会导致连接失败且错误信息不指向真实原因。真正上线前，务必用 sqlplus /@mydb 在同一台机器上先验证 Wallet 本身是否可用。 
