ORA-01017是Oracle服务端明确拒绝认证，非网络问题；主因是SEC_CASE_SENSITIVE_LOGON=TRUE导致用户名自动大写、密码字节级严格匹配（含大小写/BOM/空格），需检查该参数、账户状态、PDB上下文及DBeaver连接字符串引号与转义。
ORA-01017不是密码输错了，而是Oracle服务端明确拒绝了认证——DBeaver能连上监听，说明网络和TNS没问题，问题一定出在凭据校验环节。
检查SEC_CASE_SENSITIVE_LOGON是否为TRUE
Oracle 11g起默认开启密码大小写敏感，SEC_CASE_SENSITIVE_LOGON = TRUE 意味着：用户名不加双引号时自动转大写（User Id=scott 实际查的是 SCOTT），密码必须字节级完全一致（Password=Abc123! 和 Password=abc123! 是两个不同密码）。Windows记事本复制的密码常带UTF-8 BOM，DBeaver读取配置文件时不会报错，但Oracle会严格比对失败。
- 用DBeaver自带的SQL执行器连
sqlplus / as sysdba（或直接开终端），运行：SHOW PARAMETER sec_case_sensitive_logon；若返回TRUE，就基本锁定该方向 - 临时验证可执行：
ALTER SYSTEM SET sec_case_sensitive_logon = FALSE SCOPE=BOTH，再重设一次密码：ALTER USER scott IDENTIFIED BY "Abc123!" - 更稳妥的长期做法是：改密时始终用双引号包裹，比如
ALTER USER scott IDENTIFIED BY "Abc123!"，固化大小写
DBeaver连接配置中用户名/密码的引号与转义
DBeaver底层用JDBC驱动（通常是ojdbc8或oracle.jdbc.driver.OracleDriver），对连接字符串格式非常敏感。引号缺失、特殊字符未包裹、空格/BOM残留都会导致凭据被截断或标准化后失真。
- 用户名含小写字母、下划线或数字开头？必须加英文双引号：
User Id="my_user"，否则DBeaver传给驱动的是MY_USER - 密码含
@、/、:、$等字符？必须用双引号包裹：Password="Pass@123" - 从DBeaver的“连接设置 → 编辑驱动设置 → 连接属性”里填入凭据时，务必手动删掉前后空格；若从外部文件导入，确认文件无BOM（可用VS Code右下角编码切换为“UTF-8 without BOM”）
- 避免在“连接设置 → 常规 → 用户名/密码”字段里粘贴——这些字段不支持引号解析，应统一填入“连接设置 → 高级 → 连接字符串”中，例如：
jdbc:oracle:thin:@//host:1521/orclpdb;User Id="scott";Password="TiGeR@123"
账户状态与权限是否真实有效
Oracle对LOCKED、EXPIRED & LOCKED、缺少CREATE SESSION权限等情况，**全部统一返回ORA-01017**，不提示真实原因。DBeaver无法暴露底层状态，必须进库查。
- 用DBeaver新建一个以
sys身份的连接（勾选“以SYSDBA身份连接”），执行：SELECT username, account_status, expiry_date FROM dba_users WHERE username = 'SCOTT' - 看到
LOCKED就执行：ALTER USER scott ACCOUNT UNLOCK；看到EXPIRED(GRACE)需先解锁再重设密码：ALTER USER scott IDENTIFIED BY "newpass" ACCOUNT UNLOCK - 确认会话权限：
SELECT * FROM dba_sys_privs WHERE grantee = 'SCOTT' AND privilege = 'CREATE SESSION'；缺失则补：GRANT CREATE SESSION TO scott - Oracle 12c+注意PDB：tnsnames.ora里定义的服务名是否指向PDB（如
orclpdb），而不是CDB root（如orcl）；DBeaver连接串中的SID或Service Name必须匹配
客户端协议兼容性与密码文件（sysdba专用）
如果你用DBeaver以SYSDBA身份连接远程Oracle（非本地BEQ），且只对sys或system报ORA-01017，其他普通用户正常，那大概率是密码文件或协议版本问题。
- 检查密码文件是否存在：
ls $ORACLE_HOME/dbs/orapw$ORACLE_SID（Linux）或dir %ORACLE_HOME%\database\orapw%ORACLE_SID%（Windows） - 确认参数：
SHOW PARAMETER remote_login_passwordfile，值必须是EXCLUSIVE；若为NONE或SHARED，需执行：ALTER SYSTEM SET remote_login_passwordfile = EXCLUSIVE SCOPE=SPFILE，然后重启数据库 - Oracle 12.2+客户端可能因安全策略拒绝旧协议：在服务器端
$ORACLE_HOME/network/admin/sqlnet.ora中添加：SQLNET.ALLOWED_LOGON_VERSION_SERVER=11（或12），再重启监听：lsnrctl restart - 改完密码后，务必用
orapwd工具同步更新密码文件（尤其当你用ALTER USER ... IDENTIFIED BY改了sys密码后）：orapwd file=$ORACLE_HOME/dbs/orapw$ORACLE_SID password=newpass entries=10
最容易被忽略的是：DBeaver连接池默认开启，一旦首次认证失败，该连接会被缓存并复用，后续所有Test Connection都继续报ORA-01017，哪怕你已修复了密码或状态。临时解决办法是在连接URL末尾加;connectTimeout=5;socketTimeout=10;disableOob=true，或干脆在“连接设置 → 高级”里关闭连接池（Pooling=false）做隔离验证。
