Java连接Oracle SSL握手失败90%源于TLS协议、加密套件或JCE策略不匹配：需实测服务端TLS版本（openssl s_client）、JDBC强制指定oracle.net.ssl_version=TLSv1.2、验证JCE无限强度策略是否生效、完整导入含中间CA的证书链，并避免Wallet与JKS混用。
Java 连 Oracle SSL 握手失败，90% 不是证书没导入，而是 TLS 协议、加密套件或 JCE 策略三者之一不匹配。
检查 TLS 协议版本是否实际协商成功
Java 8u31+ 和 Java 17 默认禁用 TLSv1.0/TLSv1.1；Oracle 11g/12cR1 或老旧 Listener 若只启用了 TLSv1.0/v1.1，连接必报 Received fatal alert: handshake_failure，且日志不显示具体原因。
- 别信“配置了 TLSv1.2”——必须实测服务端真实支持的最低版本：
openssl s_client -connect host:2484 -tls1_2（tcps 端口）或-tls1_1，看是否能建立连接并输出证书 - JDBC URL 中强制指定协议：加参数
?oracle.net.ssl_version=TLSv1.2（注意不是ssl_version=1.2） - Java 17 用户需额外加 JVM 参数：
-Djdk.tls.client.protocols="TLSv1,TLSv1.1,TLSv1.2"（引号和逗号不可省）
验证 JCE 加密策略是否允许强算法
Oracle 12c+/19c 默认启用 AES256、SHA256withRSA 等套件；而 JDK 8u161 之前默认策略禁止这些算法，导致无共同 cipher suite 可选，直接握手失败。
- JDK 8u161+ 已默认启用无限强度策略，但企业定制版 JDK 可能被回退——运行
java -cp . TestJCE（含Cipher.getInstance("AES/GCM/NoPadding")）不抛NoSuchAlgorithmException才算生效 - 若需手动修复：下载对应 JDK 版本的 JCE 文件，替换
$JAVA_HOME/jre/lib/security/local_policy.jar和US_export_policy.jar - OpenJDK 用户（如 Amazon Corretto、Zulu）通常无需替换，但需确认是否被组织策略覆盖
导入证书链时漏掉中间 CA 是最常被忽略的坑
浏览器能连上不代表 Java 能连——JVM 只信任 $JAVA_HOME/jre/lib/security/cacerts 里的证书，且校验严格。Oracle Wallet 或 Listener 使用的证书链常含中间 CA，而 JDK 默认 truststore 只有根 CA。
立即学习“Java免费学习笔记（深入）”；
- 必须从数据库真实端口导出完整链：
openssl s_client -connect host:1521 -showcerts < /dev/null | openssl x509 -outform PEM -out oracle-full-chain.pem - 若输出多段
-----BEGIN CERTIFICATE-----，说明含中间证书；逐段保存并查有效期：openssl x509 -in intermediate.crt -noout -dates（很多中间 CA 已在 2026 年过期） - 导入顺序无关，但必须全部导入：
keytool -importcert -file root.crt -alias oracle-root -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit，同理导入中间、服务器证书 - 确认 Java 应用实际使用的是哪个 JDK：
ps aux | grep java或检查启动脚本中的JAVA_HOME，别改错路径
Wallet 和 JKS 混用会触发 ORA-28860
Wallet（cwallet.sso）是 Oracle 原生格式，JDBC 驱动能直接识别；JKS 是 Java 标准格式，靠 JVM 参数加载。二者不可混用——否则驱动会忽略 Wallet 并静默失败。
- 用 Wallet 就不要配
javax.net.ssl.trustStore系统属性，否则触发ORA-28860: SSL/TLS error - Wallet 路径必须是绝对路径，且
cwallet.sso权限需为600（Linux/macOS 下chmod 600 cwallet.sso），否则驱动拒绝加载 - JDBC URL 中显式指定：
?oracle.net.wallet_location=/absolute/path/to/wallet，Wallet 目录下必须包含cwallet.sso和完整信任链
真正卡住的地方往往不是“证书导入没成功”，而是 OpenSSL 实测结果与 JDBC URL 参数、JVM 启动参数、实际运行 JDK 版本这四者之间存在隐性错配——每一步都得用命令验证，不能依赖配置文件里的注释或他人经验。
