oracle无法仅靠profile自动锁定长期未登录用户，因为failed_login_attempts和password_lock_time仅响应失败登录或密码过期，与是否实际登录无关；且dba_users.last_login在19c+中默认为null，须启用统一审计才可信。
为什么不能只靠 PROFILE 自动锁定“长期未用”用户
PROFILE 的 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 只响应失败登录或密码过期，跟“是否登录过”完全无关。哪怕一个用户三年没连过库，只要没输错密码、没超期，PROFILE 就不会锁它。dba_users.last_login 字段虽在 Oracle 19c+ 加入，但默认为 NULL——除非你已启用统一审计（Unified Auditing），否则这个字段不可信。
如何安全获取真实最后一次登录时间
先确认审计是否就位：
SELECT value FROM v$option WHERE parameter = 'Unified Auditing';
返回 TRUE 才能依赖 dba_users.last_login；否则得退到 dba_audit_session：
- 查最近成功登录：
SELECT username, timestamp FROM dba_audit_session WHERE returncode = 0 ORDER BY timestamp DESC FETCH FIRST 10 ROWS ONLY; - 但该视图默认不持久，需提前配置：
AUDIT CREATE SESSION WHENEVER SUCCESSFUL;并设置审计记录保留策略 - 更稳的替代方案：在应用层或登录触发器里写入自定义日志表（如
user_last_login_log），字段含username和login_time
用 DBMS_SCHEDULER 定时执行锁定逻辑
核心是写一个 PL/SQL 块，每天跑一次，查出 last_login 的普通用户并锁掉。关键点：
- 必须显式排除系统用户：
username NOT IN ('SYS','SYSTEM','SYSMAN',...)，别信oracle_maintained = 'Y'（11g 没这字段） - 跳过组件用户：
AND username NOT LIKE 'APEX%' AND username NOT LIKE 'FLOWS%' - 用户名带特殊字符？构造 DDL 时强制加双引号：
'ALTER USER "' || u.username || '" ACCOUNT LOCK;' - 加容错：
BEGIN EXECUTE IMMEDIATE ...; EXCEPTION WHEN OTHERS THEN NULL; END;，避免单个用户失败中断整批 - 任务要用有
ALTER USER权限的用户（如SYS）创建，且设ENABLED => TRUE
锁定后还要注意什么
ALTER USER ... ACCOUNT LOCK 不影响已有会话，只拦新连接。如果目标用户当前有活跃会话，得额外杀掉：
- 先查：
SELECT sid, serial#, status FROM v$session WHERE username = 'XXX'; - 再杀：
ALTER SYSTEM KILL SESSION '<code>sid,serial#';（注意单引号） - 批量杀可拼语句：
SELECT 'ALTER SYSTEM KILL SESSION ''' || sid || ',' || serial# || ''';' FROM v$session WHERE username IN (SELECT username FROM dba_users WHERE ...); - 别忘了：LOCKED 和 LOCKED(TIMED) 状态混在一起时，
ACCOUNT UNLOCK只解手动锁，PROFILE 触发的 TIMED 锁仍生效
真正麻烦的不是怎么锁，而是怎么确认“长期未用”这个条件本身是否可信——审计没开，last_login 就是摆设；日志表没维护，就只剩猜。
