必须显式配置三个jvm参数：-djava.security.krb5.conf、-djava.security.auth.login.config、-dsun.security.krb5.debug=true；jdbc url需含oracle.net.authentication_services=(kerberos5)，spn格式为oracle/@；oracle端须创建对应企业用户并授create session权限。
Java应用连Oracle时启用Kerberos认证，不是加个参数就完事——JVM没加载票据、SPN写错、Oracle端没建企业用户，三者任一缺失都会静默回退到密码认证，最终报ORA-01017。
必须显式配置的三个JVM启动参数
Kerberos在Java里是“手动档”，不设参数等于没开。缺一不可：
-
-Djava.security.krb5.conf=/etc/krb5.conf：路径必须绝对准确，不能依赖系统默认位置；文件里default_realm和[realms]区块必须与AD域完全匹配（大小写敏感） -
-Djava.security.auth.login.config=/path/to/jaas.conf：JAAS配置中LoginContext构造时传的名称（如"KrbLogin"）必须与jaas.conf里模块名严格一致 -
-Dsun.security.krb5.debug=true：仅调试时开启，否则GSSException: No valid credentials provided这类错误根本看不到票据获取日志
JDBC URL和服务主体名（SPN）必须严丝合缝
Oracle JDBC驱动对SPN格式极其挑剔，写错一个字符就放弃Kerberos走密码认证：
- SPN格式必须为
oracle/<fqdn>@<realm></realm></fqdn>，例如oracle/oradb.example.com@EXAMPLE.COM；oradb.example.com必须是Oracle实例的完整域名（不能是oradb或IP），且能在客户端nslookup解析 - JDBC URL中必须包含
oracle.net.authentication_services=(KERBEROS5)，且不能拼错括号或大小写；服务名用/ORCL（service name）而非:ORCL（SID） - 常见错误：
jdbc:oracle:thin:@oradb:1521/ORCL?oracle.net.authentication_services=(KERBEROS5)——主机名oradb无FQDN，驱动直接跳过Kerberos
Oracle端必须存在对应的企业用户（Enterprise User）
Kerberos只解决“你是谁”，不解决“你能不能进”。AD用户必须映射为Oracle企业用户并授权：
- 执行
CREATE USER "EXAMPLE\username" IDENTIFIED EXTERNALLY;（注意双引号+两个反斜杠转义） - 必须授
GRANT CREATE SESSION TO "EXAMPLE\username";，否则即使票据有效，登录仍被拒绝 - 不能用
CREATE USER username IDENTIFIED BY ...——那是本地用户，和Kerberos无关 - 如果用Oracle Unified Directory（OUD）或Enterprise User Security（EUS），需确认AD用户已同步到目录，并在Oracle中完成映射配置
最容易被忽略的调试断点：票据缓存与时间偏移
很多问题表面是认证失败，实际卡在底层票据环节：
- Java默认读
/tmp/krb5cc_%{uid}，但如果你用sudo -u appuser启动，UID变了，缓存路径就不同——检查klist -c /tmp/krb5cc_$(id -u)是否真有TGT - Kerberos要求客户端与KDC服务器时间差≤5分钟，CentOS/RHEL上务必运行
chronyd或ntpd同步时间，否则javax.security.auth.login.LoginException: Clock skew too great - 用
kinit -k -t /path/to/keytab principal@REALM手动测试票据获取是否成功，比纯Java调试快得多
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
