Spring Boot 3.x 连 Oracle 23c SSL 握手失败主因是 JDBC 未强制 TLSv1.2、JVM 缺中间 CA 证书或 JCE 策略禁用强算法；需实测服务端 TLS 版本、JDBC 显式配 oracle.net.ssl_version=TLSv1.2、完整导入证书链至 cacerts，并确认 JCE 启用无限强度策略。
Spring Boot 3.x 连 Oracle 23c SSL 握手失败，90% 是 JDBC 驱动没强制协商 TLSv1.2、JVM 信任库缺中间 CA 证书、或 JCE 策略未启用强算法——和 Spring Boot 版本本身无关，但 Boot 3 默认用 JDK 17+，放大了这些老问题。
确认 Oracle 23c 实际支持的 TLS 协议版本
Oracle 23c 默认只启用 TLSv1.2 及以上，但 Listener 或 Wallet 若被降级配置，仍可能只响应 TLSv1.1。别信文档，实测为准：
- 运行
openssl s_client -connect your-db-host:1521 -tls1_2 -showcerts ；若连接成功并输出证书，说明服务端支持 TLSv1.2 - 若报错
sslv3 alert handshake failure或直接断开，再试-tls1_1；若它能连上，说明服务端 TLS 配置有误，需在sqlnet.ora中显式设SSL_VERSION = 1.2 - Spring Boot 3 应用启动时加 JVM 参数：
-Djdk.tls.client.protocols="TLSv1.2"（引号和逗号不能少） - JDBC URL 必须带参数：
?oracle.net.ssl_version=TLSv1.2，不是ssl_version=1.2，也不是useSSL=true
导入完整证书链到 JVM 的 cacerts
浏览器能连 ≠ Java 能连。Oracle 23c 默认使用私有 CA 或中间 CA 签发的证书，而 JDK cacerts 只含根 CA。漏掉中间证书，就会报 PKIX path building failed：
- 从真实数据库端口导出全链：
openssl s_client -connect your-db-host:1521 -showcerts full-chain.pem - 用
awk或手动拆分full-chain.pem：每段-----BEGIN CERTIFICATE-----...-----END CERTIFICATE-----保存为独立文件（如root.crt、intermediate.crt、server.crt） - 逐个查有效期：
openssl x509 -in intermediate.crt -noout -dates；重点看中间证书的notAfter——很多 2024 年签发的中间 CA 已在 2026 年过期 - 导入顺序无关，但必须全导：
keytool -importcert -file intermediate.crt -alias oracle-intermediate -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit - 确认应用实际用的是哪个 JDK：
ps aux | grep java | grep -v grep，别改错cacerts文件路径
验证 JCE 是否允许 AES256/GCM/SHA256withRSA
Oracle 23c 默认启用 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 等强套件；JDK 8u161 之前或企业定制版 JDK 若仍用有限强度策略，会因无共同 cipher suite 直接握手失败：
- 写个测试类跑
Cipher.getInstance("AES/GCM/NoPadding")，不抛NoSuchAlgorithmException才算生效 - OpenJDK（如 Amazon Corretto 17.0.11+、Zulu 17.42+）默认启用无限强度，但组织策略可能覆盖；检查
$JAVA_HOME/lib/security/java.security中crypto.policy=unlimited是否启用 - 若需手动补 JCE：下载对应 JDK 版本的
local_policy.jar和US_export_policy.jar，替换进$JAVA_HOME/lib/security/ - Spring Boot 3 启动日志里搜
Enabled cipher suites，确认列表里有AES256或GCM字样
避免 Wallet 与 JKS 混用导致的信任源冲突
Oracle 23c 支持 Wallet（ewallet.p12）和 JKS 两种 SSL 凭据方式，但 Spring Boot JDBC 不支持 Wallet 直连；硬配 oracle.net.wallet_location 会导致驱动忽略 cacerts，反而更难调试：
- 彻底禁用 Wallet：JDBC URL 中不要出现
oracle.net.wallet_location或javax.net.ssl.trustStore参数 - 确保只用
cacerts：删掉所有自定义-Djavax.net.ssl.trustStore=...JVM 参数，让驱动走默认信任库 - Wallet 方式仅适用于 OCI 或 sqlplus 场景；Java 应用一律走证书导入 +
oracle.net.ssl_version显式控制 - 如果已用 Wallet，且无法切换，必须把 Wallet 里的证书全部导出为 PEM，再按前述步骤导入
cacerts，不能跳过
真正卡住人的从来不是“怎么导入证书”，而是花两天时间调 ssl_version 参数，却忘了检查系统时间是否偏差超 3 分钟——2026 年 8 月，很多中间 CA 证书的 notAfter 是 2026-06-30，时间错 5 分钟就直接判定过期。
