解決 ORA-01017 登入被拒：從密碼驗證到 TNS 配置的完整排查清單

解決 ORA-01017 登入被拒：從密碼驗證到 TNS 配置的完整排查清單

ORA-01017: invalid username/password; logon denied 是 Oracle 開發者最常遇到的錯誤之一。本文整理從客戶端工具 (PL/SQL Developer) 連線失敗的完整排查路徑，涵蓋密碼驗證、TNS 配置、帳號狀態、權限授予、環境變數五大維度，助你快速定位根因。

一、錯誤現象

• 本機未安裝 Oracle Server，僅安裝 Oracle Client + PL/SQL Developer。
• 使用 IDE 連線時彈出 ORA-01017，但確信帳密正確。
• 系統管理員帳號 (sys/system) 可正常登入。

二、分層排查步驟 (按可能性排序)

1. 密碼與帳號基礎驗證 (最高發生率)

• 檢查大小寫與空白：Oracle 11g+ 密碼區分大小寫；複製貼上時留意隱形空白字元。
• 以 SYS 登入驗證使用者存在性：

  SELECT username, account_status FROM dba_users WHERE username = 'YOUR_USER';

• 重置密碼測試：

  ALTER USER your_user IDENTIFIED BY new_password;

2. TNSNAMES.ORA 配置錯誤 (本案真實根因)

• 打開 Client 端 $ORACLE_HOME/network/admin/tnsnames.ora (如 D:\Program Files (x86)\Oracle\odac_client\network\admin\tnsnames.ora)。
• 核對 HOST IP 是否為資料庫伺服器真實 IP，SERVICE_NAME 是否與伺服器端一致。
• 關鍵：若有多個 Oracle Home，確認 PL/SQL Developer 使用的 Oracle Home 路徑下的 tnsnames.ora 是否為正確修改的那一份。

3. 帳號鎖定狀態

-- 以 SYS 登入檢查
SELECT username, account_status FROM dba_users WHERE username = 'YOUR_USER';
-- 若顯示 LOCKED(TIMED) 或 EXPIRED(GRACE) 則需解鎖
ALTER USER your_user ACCOUNT UNLOCK;
-- 若密碼過期同步重置
ALTER USER your_user IDENTIFIED BY new_password ACCOUNT UNLOCK;

4. 權限不足 (缺乏 CREATE SESSION)

GRANT CREATE SESSION TO your_user;
-- 視需求授予資源角色
GRANT CONNECT, RESOURCE, CREATE TABLE, CREATE VIEW, UNLIMITED TABLESPACE TO your_user;

5. 環境變數干擾 (低機率但易忽略)

• 檢查系統環境變數 ORACLE_HOME、TNS_ADMIN、NLS_LANG 是否指向錯誤的 Oracle Home。
• 嘗試刪除所有 Oracle 相關環境變數，重啟 IDE 測試 (部分綠色版 PL/SQL 不依賴環境變數)。

三、真實案例回顧：IP 地址寫錯導致連錯機器

作者在 tnsnames.ora 中誤將 HOST 設為開發機 IP 而非資料庫伺服器 IP，導致連線請求發送到無監聽器的機器，回傳 ORA-01017 (實際應為 ORA-12541，但因中間層轉發或驗證邏輯差異顯示為 1017)。修正 IP 後即刻解決。

四、總結：排查口訣

1. 帳密先：大小寫、空白、重置、存在性。
2. TNS 後：IP、Port、Service Name、多 Home 路徑正確性。
3. 狀態查：LOCKED/EXPIRED → UNLOCK。
4. 權限給：CREATE SESSION 為最低門檻。
5. 環境清：變數衝突乾淨重來。

避坑指南：團隊協作時建立統一 tnsnames.ora 模板存放版控，CI/CD 部署時自動分發至 Client 端 $ORACLE_HOME/network/admin 與 instantclient/network/admin，杜絕手動修改導致的不一致。