Oracle 19c SSL加密连接必须先生成合法Wallet并配置监听器监听TCPS端口，否则客户端配置无效；需用orapki创建-auto_login Wallet（权限700）、sqlnet.ora显式声明WALLET_LOCATION与SSL_VERSION=1.2、listener.ora新增(PROTOCOL=TCPS)地址，客户端URL必须用TCPS协议且设oracle.net.ssl_server_dn_match=true。
oracle 19c 的 ssl 加密连接不是改几个配置就能通的，必须先生成合法 wallet、再让监听器真正监听 tcps 端口，否则客户端无论怎么配 url 或 sqlnet.ora 都会静默走 tcp 协议，根本触发不了证书校验。
用 orapki 创建 Wallet 并生成自签名证书
Oracle 不接受 OpenSSL 直出的 PEM 文件，也不认手动拼接的 crt，必须用 orapki 工具初始化二进制 Wallet 容器并注入证书链。常见错误是跳过 -auto_login 或权限设错：
- Wallet 目录权限必须是
700，属主为oracle；设成755会导致监听器启动报TNS-01190 - 路径中含空格或中文，
listener.ora里没加双引号，监听器会静默忽略该 ADDRESS 段 - 自签名场景下，需同时导入 CA 和 server 证书，并执行
orapki wallet add_trusted_cert标记信任，否则连上就报ORA-29024: Certificate validation failure
典型命令（假设 Wallet 存于 /u01/app/oracle/admin/ORCL/wallet）：
mkdir -p /u01/app/oracle/admin/ORCL/wallet chmod 700 /u01/app/oracle/admin/ORCL/wallet chown oracle:oinstall /u01/app/oracle/admin/ORCL/wallet orapki wallet create -wallet "/u01/app/oracle/admin/ORCL/wallet" -pwd MyWalletPass123! -auto_login orapki wallet add -wallet "/u01/app/oracle/admin/ORCL/wallet" -pwd MyWalletPass123! -dn "CN=`hostname`" -keysize 2048 -self_signed -validity 3650 orapki wallet display -wallet "/u01/app/oracle/admin/ORCL/wallet" -pwd MyWalletPass123!
在 sqlnet.ora 中显式声明 WALLET_LOCATION
sqlnet.ora 里的 WALLET_LOCATION 不是可选配置，而是监听器和数据库进程定位证书的唯一依据。它不读环境变量，不能写 $ORACLE_HOME 或 ~，必须是绝对路径，且服务端与客户端要一致：
- 监听器读的是
$ORACLE_HOME/network/admin/sqlnet.ora，不是实例目录下的那个 - 若只在客户端
sqlnet.ora配了WALLET_LOCATION，但服务端没配，连接仍走明文 TCP -
SSL_VERSION = 1.2必须写在这里，URL 里设oracle.net.ssl_version已被废弃，会被忽略
正确写法示例（注意括号嵌套和等号两侧无空格）：
WALLET_LOCATION = (SOURCE = (METHOD = FILE) (METHOD_DATA = (DIRECTORY = /u01/app/oracle/admin/ORCL/wallet))) SQLNET.ENCRYPTION_SERVER = required SQLNET.CRYPTO_CHECKSUM_SERVER = required SSL_VERSION = 1.2 SSL_CLIENT_AUTHENTICATION = FALSE
在 listener.ora 中定义 TCPS 地址并绑定 Wallet
只改 sqlnet.ora 不会让监听器监听加密端口——关键动作是在 listener.ora 里新增一个 (PROTOCOL = TCPS) 的 ADDRESS，并显式指定 WALLET_LOCATION。漏掉任一环节都会导致 lsnrctl status 输出里没有 TCPS 行：
- TCPS 端口不能和已有 TCP 端口（如 1521）冲突，建议用 2484 或 1522
-
WALLET_LOCATION必须和sqlnet.ora里完全一致，路径、大小写、结尾斜杠都不能差 - 括号不匹配或缩进混乱会导致监听器解析失败，且无明确报错，只会静默跳过该 ADDRESS
示例片段（放在 LISTENER 的 DESCRIPTION_LIST 内）：
(ADDRESS = (PROTOCOL = TCPS) (HOST = mydb.example.com) (PORT = 2484)) WALLET_LOCATION = (SOURCE = (METHOD = FILE) (METHOD_DATA = (DIRECTORY = /u01/app/oracle/admin/ORCL/wallet)))
配置完后执行 lsnrctl reload，再运行 lsnrctl status，确认输出中有类似 Listening Endpoints Summary... (DESCRIPTION=(ADDRESS=(PROTOCOL=tcps)... 的行。
客户端连接时 URL 必须用 TCPS 且开启域名校验
Java 或 SQL*Plus 客户端连 SSL 数据库，URL 里 PROTOCOL 必须是 TCPS，端口必须对应监听器的 TCPS 端口。光换协议还不够，oracle.net.ssl_server_dn_match=true 是硬性要求，否则默认跳过证书域名检查，形同虚设：
- JDBC URL 示例：
jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=mydb.example.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=ORCL))) - 必须通过
Properties对象传参，而不是拼在 URL 后面，避免密码泄露风险 - 若服务端证书由私有 CA 签发，JDK 的
cacerts默认不信任，需用keytool -importcert导入，或改用 Oracle Wallet 方式管理信任链
Java 连接代码关键段：
Properties props = new Properties();
props.setProperty("user", "scott");
props.setProperty("password", "tiger");
props.setProperty("oracle.net.ssl_server_dn_match", "true");
// 不要设 oracle.net.ssl_version —— 已废弃
真正容易被忽略的是：整个链路里任何一个环节的 Wallet 路径、权限、证书链完整性、协议类型不匹配，都会导致连接失败，且错误信息往往指向客户端（比如 SSLHandshakeException），但根因几乎总在服务端监听器是否真的在听 TCPS。
