ODP.NET（含.NET Core）不支持Kerberos认证，因OCI原生层在跨平台运行时缺失SSPI支持，纯托管驱动亦未实现GSSAPI/SPNEGO；官方明确标注“not supported”，静默回退或报错；推荐替代方案为Oracle Wallet配合外部认证。
Kerberos 认证在 .NET Core 连接 Oracle 时无法直接使用 —— Oracle 官方客户端（Oracle Data Provider for .NET, ODP.NET）至今（2026 年）不支持 Kerberos 身份验证，无论 .NET Framework 还是 .NET Core / .NET 5+。你看到的 Integrated Security=true 或 Authentication=Kerberos 类似参数，在 ODP.NET 中是无效的，会静默回退到用户名/密码认证，或直接报错。
ODP.NET 不支持 Kerberos 的根本原因
Oracle 客户端依赖其原生网络层（OCI）进行身份协商，而 OCI 在 Windows 上仅支持 NTLM 和 Kerberos 的“Windows 集成登录”（即 SSPI），但该路径在 .NET Core 的跨平台运行时中被移除或未实现。ODP.NET Core 版本（如 Oracle.ManagedDataAccess.Core）完全基于纯托管代码，绕过了 OCI，因此连 NTLM 都不支持，更不用说 Kerberos。
- 即使你在 Windows 上运行 .NET Core，并且机器已加入域、有有效的 TGT，
OracleConnection仍不会尝试用 Kerberos 向 Oracle 数据库发起 GSSAPI 或 SPNEGO 协商 -
Oracle.ManagedDataAccess（非 Core 版）在 .NET Framework 下可通过 Windows 身份转发实现类似效果，但前提是数据库端配置了SQLNET.AUTHENTICATION_SERVICES=(NTS)，且只适用于 Windows 域账户直连 —— 这不是 Kerberos SSO，而是 NTLM 委派，且不适用于 .NET Core - Oracle 官方文档明确将 Kerberos 列为 “not supported” for ODP.NET Core（见 Oracle Database Client Documentation, “Authentication Methods” section）
替代方案：用 Oracle Wallet + External Authentication
若目标是免密登录（类 SSO 效果），唯一受支持的生产级路径是 Oracle Wallet 配合数据库端的外部认证（OS_AUTHENT_PREFIX 或 AUTHENTICATION_TYPE=EXTERNAL）。它不依赖 Kerberos 协议，但能达到“一次登录、自动连接”的体验：
- 在 Windows 上，用
mkstore创建 wallet，导入数据库的 SSL 证书和用户凭证（需 DBA 授权CREATE WALLET） - 设置环境变量
WALLET_LOCATION指向 wallet 目录，并在连接字符串中启用：Wallet Location=/path/to/wallet;SSL Server Certificate DN="CN=oracle-db" - 数据库必须配置
sqlnet.ora：SQLNET.AUTHENTICATION_SERVICES=(BEQ, TCPS)和WALLET_LOCATION=(SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/path/to/wallet))) - 注意：wallet 本身不解决“跨服务单点登录”，它只是把密码换成了加密文件；若要与 Kerberos SSO 流程衔接，需在应用层用
KerberosPrincipal或GSSAPI先完成用户身份断言，再按用户映射查 wallet 中对应条目 —— 这需要自定义逻辑，ODP.NET 不提供内置桥接
为什么不能强行注入 Kerberos token？
有人尝试用 System.Net.Http.HttpClient 手动构造 SPNEGO 请求头（Authorization: Negotiate ...）发给 Oracle 监听的端口 —— 这注定失败，因为 Oracle TNS 监听器不解析 HTTP 头，也不接受 GSSAPI over TCP raw stream。TNS 协议帧结构与 Kerberos 票据格式无兼容性，krb5_get_init_creds_keytab 或 AcquireCredentialsHandle 返回的 token 无法被 Oracle 客户端识别或转发。
- 错误现象：连接超时、ORA-12154（TNS 无法解析服务名）、或 ORA-12641（Authentication service failed）
- 调试线索：开启
SQLNET.LOG_DIRECTORY_CLIENT和SQLNET.LOG_LEVEL_CLIENT=16，日志里绝不会出现GSS、KRB5或SPNEGO关键字 - 性能影响：硬改底层协议栈（如 patch ODP.NET 源码接入 MIT Kerberos lib）会导致二进制不兼容、TLS 握手冲突、且无法通过 Oracle 支持审核
真正可行的 Kerberos SSO 到 Oracle 的路径，只存在于 Oracle 官方支持的场景中：Java 应用用 ojdbc8.jar + JAAS + krb5.conf；或 C/C++ 应用链接 libclntsh 并调用 OCISessionGet with OCI_CRED_EXT。.NET Core 用户目前只能接受 Wallet 方案，或在前端做身份透传（如 Web API 接收 Kerberos 认证后的用户 ID，再以该用户凭据从密钥管理服务取密码连接 Oracle）—— 后者虽非协议级 SSO，但在实际权限控制和审计上更可控。
