根本原因是后台存在持续错误登录（如旧密码重连、连接池缓存失效），导致解锁后迅速再次触发锁定；需用sysdba登录navicat，编辑用户时取消“账户被锁住”并点击apply，再结合dba_users与dba_profiles定位锁类型及failed_login_attempts阈值，并排查应用配置、定时任务等静默重试源。
Navicat 连接 Oracle 时反复报 ORA-28000: the account is locked，根本原因不是 Navicat 本身有问题，而是它暴露了后台持续发生的错误登录行为——账号解锁后几分钟又锁，说明有进程在用旧密码、错密码或已过期密码不断重试。
Navicat 里点“解锁”却没生效？检查 Sysdba 权限和 Apply 操作
图形工具操作看似简单，但两个关键动作常被跳过：
- 必须用
SYSDBA或SYSOPER角色登录（普通用户进不去“用户管理”界面） - 在编辑用户窗口取消“账户被锁住”勾选框后，必须点 Apply（应用），只点 OK 或关闭窗口不会提交变更
- 某些版本（如 PL/SQL Developer 14+、Navicat 16+）修改后若用户密码策略含
PASSWORD_EXPIRE，还需勾选“强制修改密码”，否则下次登录仍可能触发ORA-28001
查清是谁在疯狂输错密码：从 dba_users 和 dba_profiles 入手
光点几下解锁，等于给定时炸弹换电池。先确认锁的类型和源头：
-
SELECT username, account_status, lock_date FROM dba_users WHERE username = 'YOUR_USER';—— 若状态是LOCKED(TIMED)，说明是输错密码超限；若是纯LOCKED，则是人工执行过ALTER USER ... ACCOUNT LOCK -
SELECT resource_name, limit FROM dba_profiles WHERE profile = 'DEFAULT' AND resource_name = 'FAILED_LOGIN_ATTEMPTS';—— 默认值是10，但实际值可能已被改过 - 再查
PASSWORD_LOCK_TIME：如果它是1（单位天），那锁住后要等 24 小时才自动解，不是你 unlock 就立刻能连
为什么解锁后几分钟又锁？重点排查三类“静默重试源”
这类问题八成出在后台无人值守的连接源上，它们不弹窗、不报错，只默默刷失败日志：
- 应用服务器上的连接池（如 Tomcat 的
context.xml、Spring Boot 的application.yml）仍配置着旧密码，启动后持续建连失败 - ETL 工具（Kettle、DataX）、定时任务（Cron + sqlplus 脚本）或 DBLink 指向该用户，且未同步更新密码
- Oracle 监听器日志
$ORACLE_HOME/network/log/listener.log里能查到失败连接的 IP 和时间戳，比数据库审计更早暴露源头
临时放宽策略要谨慎：FAILED_LOGIN_ATTEMPTS UNLIMITED 不是万能解
生产环境设为 UNLIMITED 等于关掉防暴力破解门禁：
- 测试环境可临时设为
30，方便定位问题，但上线前必须还原 - 真正安全的做法是：把
PASSWORD_LOCK_TIME设为0.001（约 9 秒），既避免长期阻断运维，又保留防御能力 - 所有密码变更后，必须同步检查并更新：连接池配置、DBLink 定义、Shell 脚本、CI/CD 流水线中的密钥变量
最麻烦的从来不是那句 ALTER USER ... ACCOUNT UNLOCK，而是找不到哪个配置文件、哪行脚本、哪个 DBLink 还在拿旧密码撞墙——它不报错，只悄悄锁你三次。
