DBeaver无原生配置锁定功能，需通过操作系统权限限制、只读目录设置、启动参数指定只读路径及导出加密备份等方式间接保护；注意credentials-config.json可能因认证缓存写入失败导致连接异常。
DBeaver 本身不提供“锁定工作空间配置”的功能，它没有密码保护、只读开关或文件级写入锁机制。所谓“保护配置”，实际是靠操作系统权限 + 配置文件管理 + 启动参数控制来间接实现的。
为什么不能直接锁定 workspace 目录
DBeaver 基于 Eclipse RCP，其工作空间（workspace）本质是一组元数据缓存目录（如 .metadata、.dbeaver），设计上默认允许读写。强行设为只读会导致：Connection configuration save failed 错误；自动保存失败；甚至启动卡在初始化界面。这不是 bug，而是平台底层行为。
真正可行的配置保护方式
用操作系统级手段限制修改，再配合 DBeaver 自身机制规避意外覆盖：
- 关闭 DBeaver 后，对
~/.dbeaver（Linux/macOS）或C:\Users\[用户名]\.dbeaver（Windows）目录设置只读属性（右键→属性→勾选“只读”），但注意：仅对目录本身生效，子文件仍可能被写入；更稳妥的是用icacls（Windows）或chmod -w（macOS/Linux）递归移除写权限 - 启动时强制指定只读工作空间路径：在快捷方式目标中追加
-data "D:\readonly-workspace" -configuration "D:\readonly-config"，然后将该路径设为只读——这样即使用户点了“保存连接”，也会因权限拒绝而失败，日志里会报java.io.FileNotFoundException: ... (Access is denied) - 把关键配置导出为静态文件备份：用菜单
文件 → 导出 → DBeaver → 配置生成connections.dbbackup，这个文件可加密存放，需要恢复时再导入；它不依赖工作空间状态，也不受运行时修改影响
容易被忽略的坑：credentials-config.json 不是纯只读友好
即使你锁死了整个 .dbeaver 目录，DBeaver 在连接某些数据库（如 PostgreSQL 使用 GSSAPI 认证）时，仍会尝试更新 credentials-config.json 中的 token 或票据缓存。一旦写入失败，下次连接可能直接报 Authentication failed 而不提示原因。所以真正的“保护”必须包含：提前清除敏感认证缓存（删掉 credentials-config.json 里对应条目），再设只读，否则看似锁住了，实则埋了连接失败的雷。
