Oracle 19c TDE加密表空间生效需满足：wallet持续可读可打开、主密钥已设置并显式打开；优先级为WALLET_ROOT参数高于sqlnet.ora；RAC各节点WALLET_ROOT须一致且目录权限正确；加密仅对新写入数据块生效，存量数据需手动重写；SYSTEM等系统表空间不支持加密；wallet备份比数据备份更关键。
ALTER TABLESPACE ... ENCRYPTION 要生效，必须先让 wallet 持续可读、可打开，且密钥已就位；否则直接报 ORA-28365: wallet is not open，不是配置完就能用。
WALLET_ROOT 和 sqlnet.ora 的优先级别搞错就白配
oracle 19c 查找 wallet 的顺序是：先看 wallet_root 初始化参数，再 fallback 到 sqlnet.ora 中的 encryption_wallet_location（已弃用）或 wallet_location。很多现场错误源于只改了 sqlnet.ora 却没设 wallet_root，而实例又启用了 tde_configuration=file ——这时它压根不读 sqlnet.ora。
实操建议：
- 统一用
WALLET_ROOT：比如ALTER SYSTEM SET WALLET_ROOT='/u01/app/oracle/admin/ORCL/wallet' SCOPE=SPFILE;，重启后生效 -
sqlnet.ora里只保留WALLET_LOCATION作兜底，内容必须是完整路径，不能是软链（/opt/oracle/wallet✔️，/opt/oracle/wallet_link❌） - RAC 环境下，所有节点的
WALLET_ROOT值必须一致，且目录实际存在、属主为oracle:oinstall、权限700
创建 wallet 后必须手动 set key + open，否则加密表空间失败
执行 ADMINISTER KEY MANAGEMENT CREATE KEYSTORE 只生成 ewallet.p12，wallet 仍是关闭状态；ALTER TABLESPACE ... ENCRYPTION 会因找不到主密钥直接报错。
关键步骤缺一不可：
- 用
ADMINISTER KEY MANAGEMENT SET KEY IDENTIFIED BY "pwd" WITH BACKUP;创建主密钥（加FORCE KEYSTORE防止误跳过） - 再执行
ALTER SYSTEM SET ENCRYPTION WALLET OPEN IDENTIFIED BY "pwd";——注意不是ALTER SYSTEM SET ENCRYPTION WALLET OPEN;，后者在非 auto-login 场景下无效 - 如果用了 auto-login（生成
cwallet.sso），则OPEN命令可省，但SET KEY仍需显式执行
加密只对新写入数据块生效，存量数据不会自动重写
执行 ALTER TABLESPACE users ENCRYPTION USING 'AES256' ENCRYPT; 后，V$ENCRYPTED_TABLESPACES 显示已启用，但查老数据仍见明文——这不是 bug，是设计行为。TDE 不扫描/重写已有数据块，只加密后续 INSERT/UPDATE 产生的新块。
真正完成全量加密要主动触发物理重写：
-
ALTER TABLE t MOVE TABLESPACE encrypted_ts;（适合中小表） -
DBMS_REDEFINITION（大表在线重定义） -
ALTER TABLE t SHRINK SPACE;（需启用行移动且有空闲空间） - 注意：SYSTEM、SYSAUX、UNDO、TEMP 表空间明确不支持加密，强制执行会报
ORA-44001
备份 wallet 比备份数据文件更关键
RMAN 备份了加密后的数据文件，但没备份 wallet 文件（cwallet.sso 或 ewallet.p12）。没有对应版本的 wallet 和正确密码，恢复出来的库连 SELECT 都会卡住或报 ORA-28365。
务必做到：
- wallet 文件随 RMAN 备份同步归档，路径和权限（
600）保持一致 - 每次
SET KEY WITH BACKUP后，立即把新生成的 backup 文件拷到安全位置 - 升级或打补丁前，确认 wallet 兼容性 —— Oracle 19c 的 wallet 在 21c 上可能无法直接打开
最常被忽略的一点：WALLET_ROOT 目录本身不能放在 $ORACLE_HOME 下，否则 patch 或 upgrade 时可能被清理掉。独立挂载、定期校验可读性，比任何加密算法都实在。
