Oracle 19c不支持TLS证书免密登录，仅支持TCPS加密连接+auto_login Wallet实现无密码认证；必须用-orapki wallet create -auto_login生成cwallet.sso、sqlnet.ora硬配绝对路径WALLET_LOCATION、tnsnames.ora启用TCPS并设SSL_SERVER_CERT_DN_MATCH=false，任一环节缺失均静默降级为明文TCP。
SSL免密登录在 Oracle 19c 中是个常见误解——Oracle **不支持基于 TLS 证书的“免密码登录”**，它只支持基于证书的身份验证（SSL client authentication），且该功能默认关闭、极少启用，也不等价于跳过数据库用户名/密码。
真正能落地、被广泛使用的，是 **TCPS 加密连接 + 自动登录 Wallet**，即客户端用 Wallet 存凭证、连库时不输密码，但仍是标准的 username/password 认证流程，只是密码由 Wallet 代管。下面直说怎么做、为什么这么设、哪里最容易翻车。
Wallet 必须用 -auto_login，不能只靠 -auto_login_local
Oracle 19c 客户端连接时若想不输密码，Wallet 必须启用自动登录（-auto_login），而非仅本地自动登录（-auto_login_local）。后者只在本机 GUI 环境（如 SQL Developer）下生效，命令行 sqlplus 或 JDBC 连接会静默失败。
-
-auto_login生成的是 obfuscated 二进制文件（cwallet.sso），可被 Oracle Net 任何组件识别 -
-auto_login_local生成的是cwallet.sso+ 本地加密绑定，换终端、换用户、远程 SSH 都失效 - 目录权限必须是
700，属主为运行客户端进程的用户（如 oracle 或应用账号），否则ORA-28759: failure to open file - 示例命令：
orapki wallet create -wallet "/home/oracle/wallet" -pwd MyWltPass123! -auto_login
sqlnet.ora 中 WALLET_LOCATION 是硬性依赖项
客户端不配 WALLET_LOCATION，Wallet 就等于没装——Oracle Net 根本不会去找它。这个路径不是可选提示，而是唯一入口点，且不支持变量展开。
- 必须写绝对路径，
~、$ORACLE_HOME、./wallet全部无效 - 路径末尾不加斜杠，但 Wallet 目录内必须存在
cwallet.sso（由-auto_login生成）和ewallet.p12 - 典型配置段（写入
$ORACLE_HOME/network/admin/sqlnet.ora）：WALLET_LOCATION = (SOURCE = (METHOD = FILE) (METHOD_DATA = (DIRECTORY = /home/oracle/wallet)))
- 如果用 JDBC，还需额外加 JVM 参数：
-Doracle.net.wallet_location=/home/oracle/wallet
tnsnames.ora 的 TCPS 描述符必须显式指定，并禁用 SSL server DN 校验（自签名场景）
要走加密通道，tnsnames.ora 里不能只改协议为 TCPS，还必须关掉服务端证书主机名校验，否则自签名证书必报 ORA-29024: Certificate validation failure。
- 正确条目示例：
ORCL_TCPS = (DESCRIPTION = (ADDRESS = (PROTOCOL = TCPS)(HOST = db-host)(PORT = 2484)) (CONNECT_DATA = (SERVICE_NAME = orcl)) (SECURITY = (SSL_SERVER_CERT_DN_MATCH = false)))
-
SSL_SERVER_CERT_DN_MATCH = false是关键开关，它绕过 CN 匹配检查；生产环境若用 CA 签发证书，可设为true并确保证书 CN 或 SAN 匹配实际主机名 - PORT 必须与监听器中
(PROTOCOL=TCPS)地址一致，不能复用 TCP 端口（如 1521），否则连接直接超时 - 测试命令：
sqlplus username@ORCL_TCPS—— 若仍弹密码框，说明 Wallet 没被加载或路径错；若报 TNS-12537，说明监听器根本没起来 TCPS
别把 JDBC 的 trustStore 和 Oracle Wallet 混为一谈
Java 应用连 TCPS 时，常有人误以为只要配好 JVM 的 javax.net.ssl.trustStore 就行了。错。Oracle JDBC 驱动（ojdbc8+）**完全不读 Java SSL 系统属性**，它只认 Oracle Wallet。
- JDBC URL 必须带
?oracle.net.ssl_server_dn_match=false（对应 tnsnames 中的 SECURITY 设置） - 必须通过
OracleDataSource.setConnectionProperties()注入oracle.net.wallet_location，或用 JVM 参数-Doracle.net.wallet_location=... - Wallet 内必须已导入服务端证书（自签名场景下：用
orapki wallet add_trusted_cert导入server.crt） - 常见错误：JDBC 报
java.sql.SQLRecoverableException: IO Error: Invalid number format for port number，其实是 Wallet 路径错或cwallet.sso缺失
