oracle 19c内置账号（如anonymous、xdb）仅执行alter user ... account lock不够，因其深度耦合xml db等系统功能，需先停用依赖服务、撤销权限、再锁定并验证调用链是否彻底切断。
Oracle 19c 中默认账号不能靠 ALTER USER ... ACCOUNT LOCK 一锁了事——部分账号（如 ANONYMOUS、XDB）被锁后仍可能因内部调用触发异常，甚至导致 XML DB 功能失效或监听器拒绝连接。
为什么只执行 ALTER USER ... ACCOUNT LOCK 不够
Oracle 19c 内置账号（如 ANONYMOUS、MDSYS、CTXSYS、XDB）深度耦合系统功能。例如：XDB 账号被锁后，DBMS_XDB 包调用会报 ORA-31061；ANONYMOUS 锁定可能导致 HTTP 端口（如 XML DB 的 8080）无法响应。官方文档明确指出：某些账号需配合 REVOKE 和服务级禁用才真正安全。
- 仅锁账号不撤销权限，其角色（如
CONNECT、RESOURCE）仍可被其他用户间接继承 -
DBA_USERS.account_status显示LOCKED≠ 实际不可用，后台进程仍可能以该用户身份初始化组件 - 19c 引入了更严格的默认密码策略，但未改变账号行为逻辑，旧脚本直接复用易出问题
停用 ANONYMOUS 和 XDB 必须关闭对应服务
这两个账号不是“独立账户”，而是 XML DB 功能的入口载体。停用账号前必须先停掉依赖服务：
- 执行
EXEC DBMS_XDB.SETHTTPPORT(0);关闭 XML DB HTTP 端口 - 执行
ALTER SYSTEM SET dispatchers='' SCOPE=BOTH;清空共享服务器分发器（防止 XDB 通过 MTS 回连） - 再执行
ALTER USER ANONYMOUS ACCOUNT LOCK PASSWORD EXPIRE;和ALTER USER XDB ACCOUNT LOCK PASSWORD EXPIRE; - 验证：查询
SELECT status FROM dba_registry WHERE comp_name = 'XML Database';应返回VALID，但SELECT dbms_xdb.gethttpport FROM dual;必须返回0
对 MDSYS、CTXSYS 等账号，优先撤销关键系统权限
这类账号本身不用于登录，但拥有高危包执行权（如 MDSYS.SDO_GEOM_METADATA_TABLE）。单纯锁定无法阻止已授权对象调用：
- 回收执行权限：
REVOKE EXECUTE ON MDSYS.SDO_GEOM_METADATA_TABLE FROM PUBLIC; - 禁用网络包访问：
REVOKE EXECUTE ON SYS.UTL_TCP FROM PUBLIC;（注意：此操作影响 APEX、Data Pump 等，需提前测试） - 确认无残留授权：
SELECT * FROM dba_tab_privs WHERE grantee IN ('MDSYS','CTXSYS') AND privilege = 'EXECUTE';结果应为空 - 最后执行
ALTER USER MDSYS ACCOUNT LOCK PASSWORD EXPIRE;（PASSWORD EXPIRE防止密码策略自动解锁）
检查是否真被停用：别信 account_status，要看实际行为
锁定后必须验证是否真正切断调用链，否则上线即故障：
- 重启监听器：
lsnrctl stop && lsnrctl start，观察日志中是否仍有XDB或ANONYMOUS相关错误 - 尝试连接：
sqlplus anonymous/xxx@//localhost:1521/orcl应立即报ORA-01017: invalid username/password，而非卡住或返回其他错误 - 查会话痕迹：
SELECT username, program FROM v$session WHERE username IN ('ANONYMOUS','XDB');必须为空 - 关键点：若数据库启用了 Oracle Wallet 或 TDE，
LBACSYS和DVSYS账号即使锁定，其策略对象仍生效——此时应评估是否需要保留，而非盲目停用
