oracle密码校验函数需显式绑定到profile才生效，仅存在函数无用；确认方法：查用户profile及对应password_verify_function值，null表示未启用，非空则检查函数状态是否valid。
Oracle密码复杂度校验函数不会自动生效，必须先创建、再显式绑定到 profile 才能触发验证；否则 ALTER USER IDENTIFIED BY 时连最基础的长度检查都不会执行。
怎么确认当前校验函数是否真在用
别只查函数是否存在，关键看它有没有被 profile 调用：
- 查用户实际使用的 profile：
SELECT profile FROM dba_users WHERE username = 'YOUR_USER'; - 查该 profile 绑定的函数：
SELECT resource_name, limit FROM dba_profiles WHERE profile = 'DEFAULT' AND resource_name = 'PASSWORD_VERIFY_FUNCTION'; - 如果
limit是NULL，说明压根没启用任何校验逻辑 - 如果值是
VERIFY_FUNCTION但 Oracle 版本是 12c+，大概率规则太松（比如不强制特殊字符），建议换ORA12C_STRONG_VERIFY_FUNCTION
运行 utlpwdmg.sql 的硬性前提
这个脚本不是普通 SQL，权限或参数错一点就白跑：
- 必须用
SYS AS SYSDBA连接（AS SYSOPER或普通 DBA 权限都不行） -
RESOURCE_LIMIT必须为TRUE：SHOW PARAMETER resource_limit查，若为FALSE，先执行ALTER SYSTEM SET resource_limit = TRUE; - 路径要准：Oracle 12c+ 自带脚本在
$ORACLE_HOME/rdbms/admin/utlpwdmg.sql，别用网上下载的同名文件覆盖 - 命令必须是
@?/rdbms/admin/utlpwdmg.sql（注意是@，不是START或粘贴内容）
绑定函数到 profile 是最后一步，也是最容易漏的一步
脚本执行完，函数只是“存在”，profile 不主动调用它：
- 确认函数已编译成功：
SELECT object_name, status FROM dba_objects WHERE object_type = 'FUNCTION' AND object_name IN ('VERIFY_FUNCTION', 'ORA12C_STRONG_VERIFY_FUNCTION'); - 绑定到 DEFAULT profile：
ALTER PROFILE DEFAULT LIMIT PASSWORD_VERIFY_FUNCTION ORA12C_STRONG_VERIFY_FUNCTION;（12c+ 推荐） - 如果业务用户用了自定义 profile（如
SECURE_PROFILE），必须单独执行ALTER PROFILE SECURE_PROFILE LIMIT PASSWORD_VERIFY_FUNCTION ORA12C_STRONG_VERIFY_FUNCTION; - 修改后立即生效：新用户建账、已有用户下次改密时才受约束，当前密码不受影响
ORA-28003 报错时别急着改脚本
90% 的情况不是函数写错了，而是 profile 没绑对或版本不匹配：
- 密码含用户名、倒序用户名、连续重复字符（如
aaaaaa）、键盘序列（如123456、qwerty）会直接拒绝 - 12c+ 的
ORA12C_STRONG_VERIFY_FUNCTION强制要求至少 1 个大写字母、1 个小写字母、1 个数字、1 个特殊字符（仅_、$、#被接受），且长度 ≥ 8 - 如果老系统脚本硬编码了 6 位纯数字密码，改密时必然报错，得先协调应用层适配
- 函数里加
DBMS_OUTPUT.PUT_LINE没用——密码校验发生在登录鉴权阶段，输出不可见，还可能因权限不足导致静默失败
真正起效的关键不在函数本身，而在 profile 的 PASSWORD_VERIFY_FUNCTION 字段是否指向一个状态为 VALID 的函数名；哪怕函数逻辑再严，只要 profile 指向 NULL 或拼错名字，就等于没开。
