首页 > 数据库 >排查Oracle中ORA-28001密码过期连接中断

排查Oracle中ORA-28001密码过期连接中断

来源：互联网 2026-07-12 08:47:24

oracle资讯合集

ORA-28001错误因密码过期导致连接中断。需用DBA账号查询dba_users视图确认账户状态及绑定profile，然后执行ALTERUSER重置或强制过期密码，并更新所有依赖该密码的应用配置，否则仍无法连接。

先别慌——看到ORA-28001弹出来，第一反应当然是“密码过期了”。但问题在于，用户已经连不上库，你没法用普通账号去查。这时候必须有一个DBA账号，提前做诊断。最直接的方式就是查dba_users视图：跑一句select username, account_status, expiry_date, profile from dba_users where username = 'your_user';，然后盯住三处关键信息：

account_status是EXPIRED或EXPIRED(GRACE) → 基本确认过期
expiry_date是一个过去的时间（比如2026-02-28 00:00:00，而今天是2026-06-24）→ 过期板上钉钉
profile字段指向的才是真正生效的密码策略配置文件，别光盯着用户本身看

排查Oracle中ORA-28001密码过期连接中断

长期稳定更新的攒劲资源： >>>点此立即查看<<<

改了 PASSWORD_LIFE_TIME 但还是登不进去，为什么？

这是一个特别容易踩的坑。很多人以为把PASSWORD_LIFE_TIME改成UNLIMITED，用户就能自动恢复登录。但Oracle的规则是：这个参数只管未来新建的密码，不能回滚已经发生的过期状态。

常见的翻车场景：

改了DEFAULT profile的PASSWORD_LIFE_TIME，但目标用户绑定的是APP_PROFILE → 白费力气
查dba_profiles看到limit = 90就以为生效了，根本没确认该用户实际关联的是哪个profile
忘了检查PASSWORD_GRACE_TIME是不是0 — 如果grace期不为0，过期后用户还有几天缓冲时间改密码，但如果你设了0，那就连改密机会都没了

验证绑定关系的正确姿势：先跑SELECT profile FROM dba_users WHERE username = 'YOUR_USER';，确认用户关联的profile名称；再查对应profile下的具体限制：SELECT resource_name, limit FROM dba_profiles WHERE profile = 'YOUR_PROFILE' AND resource_name IN ('PASSWORD_LIFE_TIME', 'PASSWORD_GRACE_TIME');。这一步必须做，否则改错了地方全都白搭。

DBA必须执行哪些SQL才能让过期用户恢复连接？

千万别以为只是ALTER USER ... ACCOUNT UNLOCK或者改改profile就能完事——这样做完全无效。你必须显式地重置过期状态。

最常用的方案：ALTER USER your_user IDENTIFIED BY new_password; → 新密码一设，过期状态自动清除，用户就能登录了
想保留原密码但绕过当前阻塞：ALTER USER your_user PASSWORD EXPIRE; → 这样会让用户下次登录时强制改密，相当于给个临时通行证
如果account_status显示EXPIRED(GRACE)而且账号还被锁了：需要加ACCOUNT UNLOCK，比如ALTER USER your_user IDENTIFIED BY new_password ACCOUNT UNLOCK;

有一点必须提醒：如果你用IDENTIFIED BY old_password想复用旧密码，很可能遇到ORA-28007——因为启用了密码历史，旧密码已经被记录过了，不能重复用。