Oracle客户端加密配置不生效的典型表现是连接时报ORA-12650/ORA-12641或日志显示“Encryption negotiation failed”，或SQLNET.ENCRYPTION_CLIENT=REQUIRED却无报错；根本原因是服务端与客户端未就算法、级别、开关达成一致，且Oracle.ManagedDataAccess不读sqlnet.ora，须改用ODP.NET Unmanaged或显式配置连接字符串参数。
Oracle客户端加密配置不生效的典型表现
连不上时抛出 ora-12650 或 ora-12641，日志里出现 encryption negotiation failed；或者连接能通但数据明文传输，sqlnet.encryption_client 设成 required 却没报错——说明服务端根本没收到加密协商请求。
SQLNET.ORA 里这三行必须同时配对生效
SQLNET.ENCRYPTION_CLIENT 单独设成 REQUIRED 没用，Oracle 客户端加密是双向协商机制，服务端和客户端必须在算法、级别、开关上达成一致：
-
SQLNET.ENCRYPTION_CLIENT = REQUIRED（客户端强制要求加密） -
SQLNET.ENCRYPTION_TYPES_CLIENT = (AES256)（只声明一种算法，避免协商失败） -
SQLNET.CRYPTO_CHECKSUM_CLIENT = REQUESTED（建议同步开启校验，否则可能被中间人篡改）
注意：SQLNET.ENCRYPTION_TYPES_CLIENT 如果写成 (AES256, AES192) 多种，而服务端只支持 AES192，协商会静默降级甚至失败；优先只写一种且和服务端 SQLNET.ENCRYPTION_TYPES_SERVER 完全一致。
C# 应用里 Oracle.ManagedDataAccess 不读 SQLNET.ORA
这是最常踩的坑：.NET Core / .NET 5+ 项目默认用 Oracle.ManagedDataAccess，它完全不加载本地 sqlnet.ora 文件，所有网络层配置必须显式传进连接字符串：
- 加
Encrypt=true启用 TLS 加密（走 Oracle Net 加密协议前的前置通道） - 加
AuthenticationType=Password（如果用 OS 认证，加密协商会被跳过） - 真正控制 Oracle Net 加密的是
Connection Timeout=15;Encrypt=true;TrustStoreLocation=...这类参数，但 Managed Driver 对SQLNET.ENCRYPTION_*级别支持有限
若必须用完整 Oracle Net 加密（比如合规审计要求），得切回 Oracle.DataAccess（ODP.NET Unmanaged），并确保应用进程能访问到 TNS_ADMIN 指向的 sqlnet.ora 目录。
验证加密是否真起作用的两个硬指标
别信连接成功就万事大吉。抓包或查服务端视图才是准的：
- 在数据库执行
SELECT * FROM V$SESSION_CONNECT_INFO WHERE SID = SYS_CONTEXT('USERENV', 'SID')，看NETWORK_SERVICE_BANNER字段是否含encryption和具体算法名 - 用 Wireshark 抓
tnsping或应用连接过程，过滤oracle流量，确认 TCP 载荷不是明文（Oracle Net 加密后 payload 是乱码，TLS 层则看 Client Hello 是否有 SNI 和 ALPN）
服务端 sqlnet.ora 里 TRACE_LEVEL_CLIENT = 16 会生成详细协商日志，路径在 $ORACLE_HOME/network/trace，但生产环境慎开——日志体积暴涨且含敏感信息。
