如何在Oracle中配置SSL证书以实现加密的UTL

UTL_HTTP调用HTTPS必报ORA-29024，因Oracle不内置公共CA信任库，仅信任Wallet中显式添加的根证书和中间证书；缺一即证书校验失败。

必须配置 oracle wallet，且 wallet 中需包含目标 https 端点的完整信任链（根证书 + 中间证书），否则 utl_http 会直接报 ora-29024: certificate validation failure —— 这不是网络不通，而是证书校验阶段就失败了。

Oracle 不内置公共 CA 信任库（如 Mozilla CA Bundle），UTL_HTTP 在 SSL 握手时只信任 Wallet 里显式添加的证书。即使目标网站用的是 Let’s Encrypt 或 DigiCert，只要没导入对应根证书，就会拒绝连接。

Wallet 必须用 orapki 命令行工具创建，Oracle Wallet Manager（图形界面）在云环境（如 ADB）不可用，且不支持批量导入证书链。

创建空 Wallet：orapki wallet create -wallet /home/oracle/wallet -pwd "MyPass123" -auto_login
导入根证书（PEM 格式）：orapki wallet add -wallet /home/oracle/wallet -trusted_cert -cert /tmp/DigiCert_Global_Root_CA.pem
导入中间证书（同样用 -trusted_cert）：orapki wallet add -wallet /home/oracle/wallet -trusted_cert -cert /tmp/DigiCert_TLS_RSA_SHA256_2020_CA1.pem
验证是否成功：orapki wallet display -wallet /home/oracle/wallet，确认输出中出现对应 CN（如 CN=DigiCert Global Root CA）

UTL_HTTP.SET_WALLET 的第一个参数是 Wallet 所在目录路径（不是 Wallet 文件名），第二个参数是 Wallet 密码；路径格式错误或权限不足会导致静默失败或 ORA-24247。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

正确写法（Linux/Unix）：UTL_HTTP.SET_WALLET('file:/home/oracle/wallet', 'MyPass123');
错误写法：'file:/home/oracle/wallet/ewallet.p12'（传了文件名，不是目录）、'/home/oracle/wallet'（缺 file: 协议头）
权限要求：Oracle 数据库进程用户（如 oracle）必须对 Wallet 目录有读取权限，且 Wallet 文件（ewallet.p12, cwallet.sso）不能被其他用户写入（否则 Oracle 拒绝加载）
云环境特例（ADB）：Wallet 必须上传到 Object Storage，并通过 DBMS_CLOUD.CREATE_CREDENTIAL 绑定，不能用本地文件路径

ORA-24247 表示 Wallet 加载成功但网络 ACL 拦截了请求——这是独立于证书校验的第二道关卡，常被忽略。

ACL 必须显式授权目标主机和端口：DBMS_NETWORK_ACL_ADMIN.ASSIGN_ACL 的 host 参数要填域名或 IP，lower_port/upper_port 必须精确匹配（HTTPS 是 443，不能写成 440–450）
用户必须同时拥有 connect 和 resolve 权限：resolve 用于 DNS 解析，漏掉会导致 ORA-29273 + ORA-12545
检查 ACL 是否生效：SELECT * FROM DBA_NETWORK_ACLS WHERE HOST = 'api.example.com';
注意：ACL 对 localhost、127.0.0.1 同样生效，内网调用也必须配置