ORA-28040错误是客户端与Oracle数据库服务端认证协议版本不匹配所致，根本原因在于12c+默认禁用旧协议，而老客户端仅支持低版本验证协议；需在服务端sqlnet.ora中配置SQLNET.ALLOWED_LOGON_VERSION_SERVER（如设为10），并重启监听器，同时确保JDBC驱动版本兼容（至少ojdbc7）。
ORA-28040 错误到底是什么协议不匹配
ora-28040 不是密码错，也不是用户不存在，而是客户端和数据库在建立连接时，连“握手用哪套加密规则”都没达成一致。本质是 oracle 12c 及以后默认禁用了旧版认证协议（如 sqlnet.allowed_logon_version 对应的 8–10 级），而老客户端（比如 oracle 11g 客户端、某些 jdbc thin 驱动旧版、pl/sql developer 早期版）只支持低版本验证协议，一连就报这个错。
sqlnet.ora 里该设哪个参数、设多少
关键就一个配置项：SQLNET.ALLOWED_LOGON_VERSION_SERVER。它控制数据库接受的最低验证协议等级。值越小兼容性越强，但安全性越低：
-
8：支持 Oracle 8i 起所有客户端（含极老 JDBC 10g driver），但已弃用，Oracle 官方明确不建议 -
10：兼容 Oracle 10g/11g 客户端，多数遗留工具够用，是较稳妥的折中选择 -
11或12：仅允许 12c+ 客户端连接，安全但会直接拒绝老工具 - 别设
SQLNET.ALLOWED_LOGON_VERSION（无_SERVER后缀）——那是旧版参数，12c+ 已忽略
示例（$ORACLE_HOME/network/admin/sqlnet.ora）：
SQLNET.ALLOWED_LOGON_VERSION_SERVER = 10
改完 sqlnet.ora 还连不上？检查三个地方
改了配置不生效，大概率卡在这三处：
- 确认改的是数据库服务器上的
sqlnet.ora，不是客户端的 —— 这个参数只在服务端起作用 - 检查
sqlnet.ora文件路径是否被其他同名文件覆盖（比如$TNS_ADMIN环境变量指向了别的目录） - 修改后必须重启监听器：
lsnrctl stop && lsnrctl start，光 reload 不行，这个参数属于监听启动时读取的静态配置
JDBC 连接也报 ORA-28040？驱动版本比参数更关键
即使服务端设了 SQLNET.ALLOWED_LOGON_VERSION_SERVER = 10，用太老的 JDBC 驱动（比如 ojdbc6.jar）仍可能失败。因为驱动本身不实现 12c 新协议，也不主动降级协商。
- Oracle 官方要求：JDBC 连 12c+ 数据库，至少用
ojdbc7.jar（对应 JDK 7+）或ojdbc8.jar（JDK 8+） - 如果必须用老驱动，唯一办法是把服务端降到
SQLNET.ALLOWED_LOGON_VERSION_SERVER = 8，但注意：Oracle 12.2+ 已完全移除对 8 的支持，设了也无效 - Spring Boot 应用要检查
application.properties中是否硬编码了旧驱动类名（如oracle.jdbc.driver.OracleDriver），应换为新类名oracle.jdbc.OracleDriver
协议协商这事，客户端能力是底线，服务端配置只是上限。两边都得对得上号，少一个环节就卡在 ORA-28040。
