ora-28000表示账户被oracle明确锁定为locked或locked(timed)，非密码错误；须用dba权限查dba_users确认lock_date非空或account_status为locked，再执行alter user username account unlock解锁，若expiry_date过期还需同步重置密码。
ora-28000 不是密码错、连不上或驱动问题，而是 oracle 明确标记该用户状态为 locked 或 locked(timed) —— 解锁必须用 dba 权限执行 alter user ... account unlock，且不能只靠“重试”或“换密码”绕过。
确认账户确实被锁（别跳过这步）
很多人一看到报错就急着解锁，结果发现根本没锁，或者锁了但密码也过期了。先用 DBA 账号查真实状态：
-
SELECT username, account_status, lock_date, expiry_date FROM dba_users WHERE username = 'YOUR_USER';——account_status是LOCKED或EXPIRED & LOCKED才算真锁；lock_date非空是硬指标 - 如果
expiry_date已过，ACCOUNT UNLOCK后仍会报ORA-28001（密码过期），得同步改密码 - 别查
v$session或user_users，它们不反映锁定状态
执行 ALTER USER ... ACCOUNT UNLOCK 的正确姿势
这条语句看着简单，但权限、大小写、上下文错一点就失败：
- 必须用
SYS、SYSTEM或带ALTER USER权限的账号登录，推荐sqlplus /nolog→CONNECT / AS SYSDBA - 用户名大小写敏感：如果建用户时用了双引号（如
"MyUser"），解锁时也得写ALTER USER "MyUser" ACCOUNT UNLOCK; - 语句末尾要加分号，但不用
COMMIT—— DDL 立即生效 - 想一步到位重置密码+解锁，用：
ALTER USER your_user IDENTIFIED BY new_pass ACCOUNT UNLOCK;
为什么刚解锁 5 分钟又锁了？查 FAILED_LOGIN_ATTEMPTS
自动锁定的根因不是“谁点了解锁”，而是后台服务还在用旧凭据疯狂重连。关键要看这个值：
-
SELECT resource_name, limit FROM dba_profiles WHERE profile = 'DEFAULT' AND resource_name = 'FAILED_LOGIN_ATTEMPTS';—— 默认是10，输错 10 次就锁 - 临时排查可放宽：
ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS 30;，但生产环境别设UNLIMITED - 真正要追的是谁在连错：查
$ORACLE_HOME/diag/tnslsnr/*/listener/trace/listener.log，用grep -i "your_user" | tail -20定位来源 IP 和程序 - 常见漏点：
DBLINK密码没更新、Java 应用配置里硬编码旧密码、连接池未刷新凭据
Navicat / PL/SQL Developer 图形化操作的两个致命坑
点几下就能解锁，但实际常因细节失效：
- 必须用
Sysdba或Sysoper角色登录图形工具（Normal 模式看不到 Users 列表） - 编辑用户后，“账户被锁住”勾选框取消只是改了界面状态，**必须点
Apply** —— 点OK或直接关窗等于没操作 - PL/SQL Developer 14+ 版本中，若密码策略要求强制修改（
PASSWORD_GRACE_TIME），仅取消锁定勾选不会触发改密提示，下次登录仍卡在ORA-28001
真正难的从来不是敲那条 ALTER USER ... ACCOUNT UNLOCK，而是找到那个还在拿旧密码撞库的定时任务、ETL 脚本或 dblink —— 锁定本身是 Oracle 在替你报警。
