oracle jdbc驱动不支持mtls，仅能实现ssl加密通道+wallet凭据认证；其不发送客户端证书，也不响应certificaterequest，真正的双向认证需绕过jdbc改用ucp或原生socket。
oracle jdbc驱动本身不支持客户端证书双向认证（mtls），所谓“oracle数据库双向tls”是常见误解——实际能做的只有服务端ssl/tls加密 + wallet凭据认证，而wallet里的cwallet.sso和ewallet.p12不参与tls握手阶段的客户端证书验证。
Oracle JDBC根本不实现TLS客户端证书发送
Oracle官方文档和ojdbc源码均未暴露任何配置项用于指定客户端密钥库（javax.net.ssl.keyStore）、密钥密码或启用SSLContext.init(KeyManager[], ...)。驱动在建立TCPS连接时仅作为TLS客户端单向验证服务器证书，不会向Oracle服务器发送自己的证书。
- 你配了
javax.net.ssl.keyStore和javax.net.ssl.keyStorePassword，JDBC驱动完全忽略——既不报错也不生效 -
oracle.net.ssl_server_dn_match=true只控制服务端证书CN/SAN校验，和客户端证书无关 - 即使DBA在
sqlnet.ora里配了SSL_CLIENT_AUTHENTICATION = TRUE，ojdbc也无法响应CertificateRequest消息
真正可行的“双向认证”其实是Wallet + SSL组合
业务上常说的“Oracle双向认证”，实际是：用SSL/TLS加密通道传输、再用Wallet中预置的用户凭证（如ewallet.p12里的数据库用户名/密码或签名密钥）完成身份认证。这不是TLS层的mTLS，而是应用层凭据交换。
- 必须启用
TCPS协议，否则Wallet凭据不加载（触发ORA-28374或ORA-28365） - Wallet路径必须通过JVM参数传入：
-Doracle.net.wallet_location=/path/to/wallet，不能写在JDBC URL里 - Wallet目录下需同时存在
cwallet.sso（权限≤600）和ewallet.p12（Java进程可读） - 连接URL必须用完整Oracle Net语法：
jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=...)(PORT=...))(CONNECT_DATA=(SERVICE_NAME=...)))
如果真要TLS双向认证，得绕开JDBC走原生网络层
极少数场景（如合规强要求）需要真正的mTLS，只能放弃ojdbc，改用Oracle提供的Oracle Universal Connection Pool (UCP)配合自定义SSLSocketFactory，或直接用Netty/Vert.x等框架封装原生TCPS socket并手动注入KeyManager。但这意味着放弃所有JDBC标准接口和事务管理能力。
- UCP 21c+ 提供
setConnectionPoolDataSource()方法可注入自定义DataSource，但需自行处理SSLContext初始化和证书链校验逻辑 - Oracle监听器（
listener.ora）必须配置SSL_CLIENT_AUTHENTICATION = TRUE且信任你的CA根证书 - 你生成的客户端证书必须由监听器信任的CA签发，并导入到JVM的
trustStore（注意不是keyStore）才能被服务端识别 - 这种方案无法使用Spring Boot的
spring.datasource.*自动配置，必须手写连接池初始化Bean
最常被忽略的一点：即便你成功让Oracle监听器接受了客户端证书，ojdbc驱动也拿不到该证书的任何上下文信息——它不提供API让你读取已协商的客户端证书Subject或SAN。所有“基于客户端证书的授权逻辑”必须放在数据库侧（如PL/SQL中调用sys_context('USERENV', 'SSL_CLIENT_DN')）。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
