为什么Java 17连接Oracle 11g会报安全算法错误_修改JVM安全策略以兼容旧版加密协议-Oracle-PHP中文网

Java 17默认禁用TLSv1.0/TLSv1.1导致Oracle 11g连接失败，根本原因是JVM层SSLContext初始化时拒绝使用被禁协议，即使ojdbc6/8驱动也无法绕过；最轻量解法是启动时加-Djdk.tls.client.protocols="TLSv1,TLSv1.1,TLSv1.2"。

Java 17 默认禁用 TLSv1.0/TLSv1.1 导致 Oracle 11g 连接失败

oracle 11g 的 jdbc 驱动（如 ojdbc6.jar）默认使用 tlsv1.0 或 tlsv1.1 建立加密连接，而 java 17 的 java.security 策略文件已将这些旧版协议**全局禁用**。即使连接字符串和凭证完全正确，drivermanager.getconnection() 也会静默失败，最终抛出类似 java.sql.sqlrecoverableexception: io 错误: the network adapter could not establish the connection 或底层 ssl 握手异常（如 javax.net.ssl.sslhandshakeexception: no appropriate protocol），而非明确的 ora 错误码。

不改代码、只调 JVM 参数就能连上

最轻量的解法是启动时覆盖 JDK 默认安全策略，无需重编译或换驱动：

添加 JVM 启动参数：-Djdk.tls.client.protocols="TLSv1,TLSv1.1,TLSv1.2"（注意引号必须保留，逗号分隔）
若还报 PKIX path building failed，说明服务端证书链不完整或自签名——此时加：-Djavax.net.ssl.trustStore=/path/to/your/truststore.jks，或临时跳过验证（仅测试）：-Djavax.net.ssl.trustStore=（空值） + -Djavax.net.ssl.trustStorePassword=changeit
避免修改系统级 $JAVA_HOME/conf/security/java.security，否则影响所有 Java 应用；单应用加参数更可控

ojdbc8+ 驱动无法绕过 TLS 协议限制

有人尝试升级到 ojdbc8.jar（支持 JDBC 4.2），但该驱动在 Java 17 下仍受 JVM 层 TLS 策略约束——它不会自动降级协议，也不会主动启用已被禁用的算法。关键点在于：

Java Maven Common

Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。

下载

ojdbc6.jar 和 ojdbc8.jar 都依赖 JVM 的 SSLSocketFactory，不自带 TLS 实现
Oracle 官方明确说明：JDK 17+ 要求服务端至少支持 TLSv1.2；若 Oracle 11g 未打 PSU 补丁（如 11.2.0.4.20+），其监听器（listener）本身不支持 TLSv1.2，此时唯一可行路径就是降级客户端协议支持
不要试图用 oracle.net.ssl_version 连接属性——该属性在 thin 驱动中无效，仅对 native OCI 生效

真正要检查的三个地方

光调 JVM 参数还不够，这三个环节任一出错都会让“连得上”变成假象：

确认 Oracle 监听器实际启用的是 SSL 模式：查 $ORACLE_HOME/network/admin/listener.ora 是否含 (SECURE=ON) 或配置了 SSL_HANDSHAKE_TIMEOUT；没配就不用管 TLS，问题可能在别处
验证 tnsnames.ora 中的连接串是否带 SSL_SERVER_CERT_DN 或 SSL_CLIENT_AUTHENTICATION=TRUE ——这些会强制走 SSL，而你的 11g 实例很可能没配 Wallet
抓包确认：用 tcpdump 或 Wireshark 看三次握手后是否出现 Client Hello 中 advertised protocols 是否含 TLS 1.0；如果连 Client Hello 都没发出去，说明卡在 DNS 或防火墙，不是 TLS 问题