如何配置Oracle密码复杂度校验函数

Oracle密码校验函数需显式绑定到profile才生效，仅存在函数无用；确认方法：查用户profile及对应PASSWORD_VERIFY_FUNCTION值，NULL表示未启用，非空则检查函数状态是否VALID。

Oracle密码复杂度校验函数不会自动生效，必须先创建、再显式绑定到 profile 才能触发验证；否则 ALTER USER IDENTIFIED BY 时连最基础的长度检查都不会执行。

怎么确认当前校验函数是否真在用

别只查函数是否存在，关键看它有没有被 profile 调用：

1. 查用户实际使用的 profile：SELECT profile FROM dba_users WHERE username = 'YOUR_USER';
2. 查该 profile 绑定的函数：SELECT resource_name, limit FROM dba_profiles WHERE profile = 'DEFAULT' AND resource_name = 'PASSWORD_VERIFY_FUNCTION';
3. 如果 limit 是 NULL，说明压根没启用任何校验逻辑
4. 如果值是 VERIFY_FUNCTION 但 Oracle 版本是 12c+，大概率规则太松（比如不强制特殊字符），建议换 ORA12C_STRONG_VERIFY_FUNCTION

运行 utlpwdmg.sql 的硬性前提

这个脚本不是普通 SQL，权限或参数错一点就白跑：

1. 必须用 SYS AS SYSDBA 连接（AS SYSOPER 或普通 DBA 权限都不行）
2. RESOURCE_LIMIT 必须为 TRUE：SHOW PARAMETER resource_limit 查，若为 FALSE，先执行 ALTER SYSTEM SET resource_limit = TRUE;
3. 路径要准：Oracle 12c+ 自带脚本在 $ORACLE_HOME/rdbms/admin/utlpwdmg.sql，别用网上下载的同名文件覆盖
4. 命令必须是 @?/rdbms/admin/utlpwdmg.sql（注意是 @，不是 START 或粘贴内容）

绑定函数到 profile 是最后一步，也是最容易漏的一步

脚本执行完，函数只是“存在”，profile 不主动调用它：

1. 确认函数已编译成功：SELECT object_name, status FROM dba_objects WHERE object_type = 'FUNCTION' AND object_name IN ('VERIFY_FUNCTION', 'ORA12C_STRONG_VERIFY_FUNCTION');
2. 绑定到 DEFAULT profile：ALTER PROFILE DEFAULT LIMIT PASSWORD_VERIFY_FUNCTION ORA12C_STRONG_VERIFY_FUNCTION;（12c+ 推荐）
3. 如果业务用户用了自定义 profile（如 SECURE_PROFILE），必须单独执行 ALTER PROFILE SECURE_PROFILE LIMIT PASSWORD_VERIFY_FUNCTION ORA12C_STRONG_VERIFY_FUNCTION;
4. 修改后立即生效：新用户建账、已有用户下次改密时才受约束，当前密码不受影响

ORA-28003 报错时别急着改脚本

90% 的情况不是函数写错了，而是 profile 没绑对或版本不匹配：

1. 密码含用户名、倒序用户名、连续重复字符（如 aaaaaa）、键盘序列（如 123456、qwerty）会直接拒绝
2. 12c+ 的 ORA12C_STRONG_VERIFY_FUNCTION 强制要求至少 1 个大写字母、1 个小写字母、1 个数字、1 个特殊字符（仅 _、$、# 被接受），且长度 ≥ 8
3. 如果老系统脚本硬编码了 6 位纯数字密码，改密时必然报错，得先协调应用层适配
4. 函数里加 DBMS_OUTPUT.PUT_LINE 没用——密码校验发生在登录鉴权阶段，输出不可见，还可能因权限不足导致静默失败

真正起效的关键不在函数本身，而在 profile 的 PASSWORD_VERIFY_FUNCTION 字段是否指向一个状态为 VALID 的函数名；哪怕函数逻辑再严，只要 profile 指向 NULL 或拼错名字，就等于没开。