ora-28000仅表示账户不可用，须查dba_users中account_status（如locked、locked(timed)、expired & locked）和lock_date组合确认锁定类型；手动锁对应locked且lock_date通常非空，failed_login_attempts触发为locked(timed)，密码过期叠加失败则呈复合状态，需先解锁再改密或同步处理。
查 DBA_USERS 确认锁定状态和类型，别只看报错
ORA-28000 报错本身不说明原因，只表示账户当前不可用。真正要盯的是 dba_users.account_status 和 lock_date 的组合值：
• LOCKED：手动执行过 ALTER USER ... ACCOUNT LOCK，无自动解锁机制，lock_date 通常有值（但旧版本可能为 NULL）
• LOCKED(TIMED)：由 profile 中的 FAILED_LOGIN_ATTEMPTS 触发，lock_date 可能为空——这不是数据异常，是 Oracle 已知行为，尤其在密码过期后首次输错时
• EXPIRED & LOCKED 或 EXPIRED(GRACE) & LOCKED(TIMED)：密码已过期 + 登录失败叠加，必须先解锁再改密，或同时操作
用 DBA_AUDIT_SESSION 追失败登录来源（需审计已开启）
如果数据库启用了审计（audit_trail = 'DB' 或 'DB_EXTENDED'），且对目标用户开了失败登录审计：
• 先确认是否启用：SHOW PARAMETER audit_trail
• 补充审计语句（如未开）：AUDIT SESSION BY YOUR_USER WHENEVER NOT SUCCESSFUL
• 查真实 IP：SELECT userhost, terminal, spare1, comment$text FROM dba_audit_session WHERE username = 'YOUR_USER' AND returncode = 1017 ORDER BY timestamp DESC
注意：comment$text 字段里常含完整客户端地址，例如 (HOST=10.113.27.15)(PORT=66453)，比 userhost 更可靠；spare1 有时存操作系统用户名，可辅助定位脚本或服务账号
没开审计？去 listener.log 撞时间窗口捞线索
审计未启用时，监听日志是唯一可用的原始日志源，但依赖时间精度和日志保留策略：
• 统一会话时间格式：ALTER SESSION SET NLS_DATE_FORMAT='YYYY-MM-DD HH24:MI:SS'
• 查出锁定时间：SELECT lock_date FROM dba_users WHERE username = 'YOUR_USER'
• 去监听日志中匹配该秒级时间点前后 30 秒：grep -i "YOUR_USER" $ORACLE_HOME/diag/tnslsnr/*/listener/trace/listener.log | grep -i "refused\|failed\|1017" | grep -A 1 -B 1 "2026-10-02 22:54:17"
注意路径中的 * 是通配符，适配不同 Oracle 版本的 hostname 或实例名命名差异；若日志已被轮转，这条路径就失效，只能靠后续补救手段
长期反复被锁？建触发器捕获实时失败登录
当问题高频发生、又无法立即开启审计时，兜底方案是在 SYS 下建触发器记录每次失败登录：
• 必须已有表 failed_login_log（含 username、ip、os_user、log_time 字段）
• 触发器核心逻辑：IF (IS_SERVERERROR(1017)) THEN INSERT INTO failed_login_log (...) VALUES (SYS.LOGIN_USER, SYS_CONTEXT('USERENV','IP_ADDRESS'), SYS_CONTEXT('USERENV','OS_USER'), SYSDATE); END IF;
• 关键点：SYS_CONTEXT('USERENV','IP_ADDRESS') 在连接未建立完整会话前也可能返回空，此时 SYS.LOGIN_USER 反而更稳定；该触发器对性能影响极小，但不能替代审计，仅用于应急定位
真正难定位的不是“谁输错了密码”，而是 DBLink、定时 job、后台服务这些静默调用源——它们不会出现在应用日志里，却会持续消耗失败计数。查 dba_db_links 和 dba_scheduler_jobs 对应用户的 profile 设置，往往比翻监听日志更快找到根因。
