Oracle JDBC驱动不支持真正的TLS双向认证（mTLS），仅支持TCPS加密通道加Wallet身份认证；其底层绕过.NET SslStream，硬编码忽略ClientCertificates；生产唯一合规方案是TCPS+Wallet，需通过环境变量配置TNS_ADMIN并使用PROTOCOL=TCPS连接字符串。
Oracle JDBC驱动（包括ojdbc8、ojdbc11、ojdbc21）**不支持真正的TLS层双向认证（mTLS）**，无论你在.NET Core里怎么配置客户端证书，oracle.jdbc.driver.OracleDriver 或 Oracle.ManagedDataAccess.Client 都不会在TCPS握手阶段发送客户端证书，也不会响应服务端的 CertificateRequest 消息。所谓“双向”，实际是 SSL 加密通道 + Wallet 凭据认证的组合，不是 TLS 双向。
为什么.NET Core配置ClientCertificates对Oracle无效
你可能尝试过在 HttpClientHandler 或自定义 SslStream 中添加 ClientCertificates，或在连接字符串里加 SSLClientCertificate=client.pfx —— 这些操作对 Oracle 数据库连接完全无影响，因为：
-
Oracle.ManagedDataAccess（ODP.NET Core）底层不使用 .NET 的SslStream，而是自己封装了 OpenSSL 兼容的 TLS 层，且**硬编码忽略所有 .NET 提供的X509CertificateCollection** - 它不读取
HttpClientHandler.ClientCertificates，也不响应SslServerAuthenticationOptions.ClientCertificateMode = RequireCertificate - 即使数据库监听器（
listener.ora）配了SSL_CLIENT_AUTHENTICATION = TRUE，驱动也压根不触发证书协商流程 - 抓包可见 TLS Client Hello 中始终没有
Certificate消息段，证实客户端证书根本未发出
真正能用的“类双向认证”路径：TCPS + Wallet
这是生产环境唯一稳定、被 Oracle 官方文档覆盖、且审计可接受的方案。本质是：用 TCPS 建立加密信道，再靠 Wallet 里的用户身份完成强绑定。
- Wallet 必须包含两个文件：
cwallet.sso（权限 ≤600）和ewallet.p12，且由orapki wallet create -auto_login生成 - Wallet 路径必须通过环境变量传入，不能写在连接字符串里：
set ORACLE_HOME=/u01/app/oracle/product/19c/dbhome_1&&set TNS_ADMIN=/path/to/wallet - 连接字符串必须用完整 Oracle Net 语法，显式指定
PROTOCOL=TCPS：jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=dbhost)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=ORCL))) - .NET Core 中需引用
Oracle.ManagedDataAccess.Core≥ 3.21.130，并确保运行时加载了 OpenSSL 库（Linux/macOS）或已安装 Visual C++ Redistributable（Windows）
真要mTLS？只能绕开ODP.NET走原生网络层
如果等保三级、金融信创或国密合规明确要求 TLS 层双向证书交换（即服务端必须校验客户端证书DN并拒绝无证书连接），ODP.NET 就不可用。此时只有两条路：
- 改用
OracleUniversalConnectionPool（UCP）+ 自定义SSLSocketFactory，但 UCP for .NET 不成熟，官方仅提供 Java 版；.NET 生态中几乎无人实践，且会丢失事务传播、连接泄漏检测等关键能力 - 彻底放弃 ODP.NET，用
System.Net.Sockets.Socket+SslStream手动实现 Oracle TNS 协议帧解析（含 Connect、Authentication、Execute 等 handshake packet），再注入X509Certificate2和KeyManager。这相当于重写一个轻量级 Oracle 驱动，开发与维护成本极高
多数团队最终选择接受“TCPS + Wallet”为合规等效方案——它虽非 TLS mTLS，但提供了传输加密 + 强身份凭证 + 服务端可查 sys_context('USERENV', 'SSL_CLIENT_DN') 的组合能力，且 Oracle 审计日志、AWR 报告均能追溯到具体 Wallet 用户。
