必须用ALTER PROFILE设置FAILED_LOGIN_ATTEMPTS并配套PASSWORD_LOCK_TIME，否则账户将永久锁定；该值属profile策略而非数据库参数，ALTER SYSTEM会报ORA-02095；需同语句设置且验证dba_profiles生效。
必须用 ALTER PROFILE 设置 FAILED_LOGIN_ATTEMPTS，不能用 ALTER SYSTEM；只设失败次数不配 PASSWORD_LOCK_TIME 会导致账户永久锁定。
FAILED_LOGIN_ATTEMPTS 不是数据库参数，ALTER SYSTEM 会直接报错
执行 ALTER SYSTEM SET failed_login_attempts = 3 必然触发 ORA-02095: specified initialization parameter cannot be modified。这个值属于 profile 级策略，和 sga_target 或 db_name 这类实例参数完全无关。它只能绑定到某个 profile（如 DEFAULT）上才生效。
Oracle 默认所有新用户都使用 DEFAULT profile，所以多数场景只需改它。但要注意：dba_users.profile 字段可能显示用户绑的是其他 profile（比如 APP_PROFILE），此时改 DEFAULT 完全无效。
必须同时设置 PASSWORD_LOCK_TIME，否则锁死无法自动恢复
FAILED_LOGIN_ATTEMPTS 单独设为 3 是高危操作——因为 PASSWORD_LOCK_TIME 默认是 UNLIMITED，账户被锁后将永远卡在 ORA-28000: the account is locked，连密码正确也登不进去。
- 推荐写法：
ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 1/24;（锁 1 小时） -
PASSWORD_LOCK_TIME单位是“天”，小数合法；写成60（以为是分钟）会被 Oracle 忽略或报错 - 设为
0表示立即锁定、永不自动解锁；设为UNLIMITED则彻底依赖 DBA 手动干预 - 两个参数必须出现在同一条
ALTER PROFILE语句中；分两次执行，中间若被覆盖或顺序错乱，策略可能不一致
验证是否真生效，别只信 SQL*Plus 的 “Statement processed”
执行完命令后，立刻查 dba_profiles 确认落地：
SELECT resource_name, limit FROM dba_profiles
WHERE profile = 'DEFAULT'
AND resource_name IN ('FAILED_LOGIN_ATTEMPTS', 'PASSWORD_LOCK_TIME');
然后用目标用户（如 scott）在独立终端（关掉 Navicat/PLSQL Dev 再重连）连续输错 3 次密码，第 4 次应立刻报 ORA-28000。常见验证失败原因：
- 该用户实际用的不是
DEFAULTprofile（查dba_users.profile） - profile 被后续另一条没带
PASSWORD_LOCK_TIME的ALTER PROFILE覆盖了 - 连接工具缓存了旧 session，未真正重连
解锁必须手动执行 ALTER USER ... ACCOUNT UNLOCK
账户一旦被锁，不会因等待时间到期而自动恢复（除非 PASSWORD_LOCK_TIME 设为非零值且已过期）。即使你后来把 FAILED_LOGIN_ATTEMPTS 改回 UNLIMITED，已锁账户仍保持锁定状态。
解锁命令很简单：ALTER USER scott ACCOUNT UNLOCK;。但如果用户同时处于 EXPIRED 状态（密码过期），光解锁不够，还得配合 IDENTIFIED BY 或 IDENTIFIED BY VALUES 重置密码。
多租户环境下（如 PDB），所有操作前必须先 ALTER SESSION SET CONTAINER = your_pdb;，否则查不到用户、改不了 profile。
