DBeaver无原生配置锁定功能，需通过操作系统权限限制、只读目录设置、启动参数指定只读路径及导出加密备份等方式间接保护；注意credentials-config.json可能因认证缓存写入失败导致连接异常。

DBeaver 本身不提供“锁定工作空间配置”的功能，它没有密码保护、只读开关或文件级写入锁机制。所谓“保护配置”，实际是靠操作系统权限 + 配置文件管理 + 启动参数控制来间接实现的。

为什么不能直接锁定 workspace 目录

DBeaver 基于 Eclipse RCP，其工作空间（workspace）本质是一组元数据缓存目录（如 .metadata、.dbeaver），设计上默认允许读写。强行设为只读会导致：Connection configuration save failed 错误；自动保存失败；甚至启动卡在初始化界面。这不是 bug，而是平台底层行为。

真正可行的配置保护方式

用操作系统级手段限制修改，再配合 DBeaver 自身机制规避意外覆盖：

• 关闭 DBeaver 后，对 ~/.dbeaver（Linux/macOS）或 C:\Users\[用户名]\.dbeaver（Windows）目录设置只读属性（右键→属性→勾选“只读”），但注意：仅对目录本身生效，子文件仍可能被写入；更稳妥的是用 icacls（Windows）或 chmod -w（macOS/Linux）递归移除写权限
• 启动时强制指定只读工作空间路径：在快捷方式目标中追加 -data "D:\readonly-workspace" -configuration "D:\readonly-config"，然后将该路径设为只读——这样即使用户点了“保存连接”，也会因权限拒绝而失败，日志里会报 java.io.FileNotFoundException: ... (Access is denied)
• 把关键配置导出为静态文件备份：用菜单 文件 → 导出 → DBeaver → 配置 生成 connections.dbbackup，这个文件可加密存放，需要恢复时再导入；它不依赖工作空间状态，也不受运行时修改影响

容易被忽略的坑：credentials-config.json 不是纯只读友好

即使你锁死了整个 .dbeaver 目录，DBeaver 在连接某些数据库（如 PostgreSQL 使用 GSSAPI 认证）时，仍会尝试更新 credentials-config.json 中的 token 或票据缓存。一旦写入失败，下次连接可能直接报 Authentication failed 而不提示原因。所以真正的“保护”必须包含：提前清除敏感认证缓存（删掉 credentials-config.json 里对应条目），再设只读，否则看似锁住了，实则埋了连接失败的雷。