证书校验失败主因是JVM或.NET信任库缺失中间CA，而非服务器证书过期；需导出完整证书链并注入对应信任库，同时确保TLS版本、Oracle Net加密参数与服务端配置对齐。
证书校验失败的直接原因不是证书过期，而是JVM或.NET运行时信任库缺失中间CA
报错 CertificateExpiredException 或 证书链是由不受信任的颁发机构颁发的，90% 情况下不是服务器证书本身过期，而是 Java 的 $JAVA_HOME/jre/lib/security/cacerts 或 .NET Core 的系统信任库里缺了某张中间 CA 证书——尤其常见于 Oracle 19c/21c 使用私有 CA 或 Let’s Encrypt 交叉链时。浏览器能连上，.NET 应用连不上，就是这个原因。
- Oracle 数据库 SSL 握手时会把整条证书链（服务器证书 + 中间 CA）发给客户端；.NET Core 默认只信任操作系统或 .NET 自带根证书库里的根 CA，不自动补全中间层
- 用
openssl s_client -connect host:1521 -showcerts -servername your-db-host 2>/dev/null | openssl x509 -noout -dates可逐段提取并检查每张证书的notAfter时间，重点盯中间 CA（它常比服务器证书早一年过期） - Linux 容器中运行 .NET 应用时，
libssl版本太旧（如 Alpine 的 musl + OpenSSL 1.1.1）也可能拒绝 TLSv1.2+ 的签名算法，导致静默握手失败
连接字符串加 TrustServerCertificate=true 是临时解法，但有安全风险
在 Oracle 连接字符串末尾追加 ;TrustServerCertificate=true，可跳过证书链验证，快速验证是否为信任库问题。但它会让整个 TLS 通道降级为“仅加密不认证”，中间人攻击可解密流量——生产环境绝不能长期开启。
- 仅用于排查：加了它能连上 → 确认是证书链问题；加了仍连不上 → 往网络、协议版本、加密套件方向查
- 该参数对 Oracle.ManagedDataAccess.Core 有效，但对 ODP.NET Unmanaged（即 Oracle.DataAccess）无效
- 若数据库启用了双向 TLS（mTLS），此参数完全失效，必须导入客户端证书到
ClientCertificate并配置AuthenticationType=Certificate
真正修复要导出完整证书链并注入信任库
.NET Core 6+ 在 Linux/macOS 上默认使用系统信任库（如 /etc/ssl/certs/ca-certificates.crt），Windows 上走 Windows Certificate Store；Java 则固定用 cacerts。二者不能混用，也不能靠“装完 Oracle 客户端就自动生效”。
- 从数据库导出完整链：
openssl s_client -connect 192.168.1.100:1521 -showcerts /null 2>/dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > full-chain.pem - 拆分
full-chain.pem为多份单证书文件（每份含一个BEGIN/END CERTIFICATE块），分别用openssl x509 -in cert1.pem -noout -text查 Issuer 和 Subject，确认哪张是中间 CA - Linux 容器中：把中间 CA 和根 CA 合并进系统证书包，再执行
update-ca-certificates；不要只改应用目录下的某个 pem 文件 - Windows 上：用
CertMgr.msc导入中间 CA 到“受信任的根证书颁发机构”或“中间证书颁发机构”容器，注意勾选“自动选择证书存储”
Oracle 服务端配置和客户端驱动版本必须协同
即使证书链完整，.NET Core 仍可能因加密协商失败而卡在 TLS 握手阶段，表现为超时或 ORA-12650。这不是证书问题，而是 Oracle Net 加密层与 TLS 层打架。
-
Oracle.EntityFrameworkCore8.22.2（适配 EF Core 8.x）只支持 TLSv1.2，不支持 TLSv1.3；若 Oracle Listener 配置了SQLNET.ENCRYPTION_SERVER = REQUIRED且只启用 AES192，而客户端连接字符串没写Encrypt=true;EncryptionTypes=(AES192)，就会协商失败 - 别指望
sqlnet.ora生效：.NET Core 下的Oracle.ManagedDataAccess.Core完全不读本地sqlnet.ora，所有加密参数必须显式塞进连接字符串，例如：Data Source=...;Encrypt=true;EncryptionTypes=(AES192);CryptoChecksumTypes=(SHA256) - 抓包确认真实行为：用 Wireshark 过滤
tcp.port == 1521，看 Client Hello 是否含 SNI、ALPN，以及 Server Hello 后是否真发了 Certificate 消息——光看连接成功没用，得看加密是否实际启用
证书链完整性、信任库路径、TLS 协议版本、Oracle Net 加密开关，这四者必须同时对齐。少一个，TrustServerCertificate=true 就只是掩盖问题的创可贴。
