应先查用户绑定的PROFILE：SELECT username, profile FROM dba_users WHERE username = 'YOUR_USER';再查该PROFILE的密码参数：SELECT resource_name, limit FROM dba_profiles WHERE profile = 'YOUR_PROFILE' AND resource_type = 'PASSWORD'。
Oracle密码过期报错 ORA-28002 怎么快速定位是哪个PROFILE在起作用？
直接查当前用户绑定的profile，再查该profile的密码策略参数，是最准的路径。很多dba一上来就改default，结果发现用户根本没用它。
- 查用户用的PROFILE：
SELECT username, profile FROM dba_users WHERE username = 'YOUR_USER'; - 查PROFILE具体设置：
SELECT resource_name, limit FROM dba_profiles WHERE profile = 'YOUR_PROFILE' AND resource_type = 'PASSWORD'; - 特别注意
FAILED_LOGIN_ATTEMPTS和PASSWORD_LOCK_TIME常被忽略，但它们会导致ORA-28000（账户锁定），和ORA-28002（即将过期）不是一回事
修改密码有效期为“永不过期”，关键不是设成UNLIMITED而是确认PASSWORD_LIFE_TIME生效范围
UNLIMITED本身没问题，但必须确保它写在用户实际使用的PROFILE里，且不是被ALTER USER ... PASSWORD EXPIRE手动触发过期状态——后者会覆盖PROFILE设置。
- 修改PROFILE：
ALTER PROFILE your_profile LIMIT PASSWORD_LIFE_TIME UNLIMITED; - 强制重置用户密码状态（如果已被标记为过期）：
ALTER USER your_user PASSWORD EXPIRE; ALTER USER your_user IDENTIFIED BY newpass; - 注意：修改PROFILE后，已过期的用户不会自动恢复，必须显式重设密码或用
ALTER USER ... ACCOUNT UNLOCK配合
自定义PROFILE时，PASSWORD_REUSE_TIME和PASSWORD_REUSE_MAX冲突怎么办？
这两个参数是互斥逻辑：Oracle只认其中一个生效，优先级是PASSWORD_REUSE_MAX > PASSWORD_REUSE_TIME。设了UNLIMITED给其中一个，另一个必须设为UNLIMITED或明确0，否则可能被误判为“不允许重用”。
- 常见错误配置：
PASSWORD_REUSE_TIME 365+PASSWORD_REUSE_MAX 0→ 实际效果是“永远不能重用旧密码”，因为MAX=0强制禁用重用 - 想允许1年内重用，但最多重用3次？不行。Oracle不支持“时间+次数”双重约束，只能二选一
- 生产环境建议统一用
PASSWORD_REUSE_MAX，比时间更可控；设为5表示最近5个密码不能重复
为什么ALTER PROFILE后新用户还是走默认策略？
因为新建用户默认绑定的是DEFAULT PROFILE，而不是你刚创建的自定义PROFILE。不显式指定，就不会生效。
- 建用户时指定：
CREATE USER u1 IDENTIFIED BY p1 PROFILE my_secure_profile; - 或者批量切换已有用户：
ALTER USER u1 PROFILE my_secure_profile; - 切记：
DEFAULTPROFILE本身也可以被ALTER PROFILE DEFAULT ...修改，但会影响所有未显式指定PROFILE的用户，风险高，不推荐直接动它
真正麻烦的不是改参数，而是改完之后不验证用户实际行为——比如用SELECT account_status, expiry_date FROM dba_users确认日期是否更新，用测试账号反复输错密码看是否真锁、锁多久。策略改得再漂亮，没落到具体用户身上等于白做。
