Flask-SQLAlchemy+python-oracledb厚模式加密配置验证问题

一、确认sqlnet.ora是否被正确读取 #

1. 校验TNS_ADMIN环境变量有效性 #

• 确保环境变量设置的是sqlnet.ora所在文件夹的绝对路径，路径含空格或特殊字符时用引号包裹
• 在Flask应用启动前，先打印环境变量确认路径正确性：

  import os
  print(os.environ.get("TNS_ADMIN"))
  

  输出路径必须和sqlnet.ora的实际存放目录完全匹配，Windows系统注意路径分隔符用\\或原始字符串r"..."

2. 直接指定sqlnet.ora路径（绕过环境变量） #

初始化厚模式时，通过config_dir参数明确指定配置文件目录，排除环境变量干扰：

oracledb.init_oracle_client(
    lib_dir=r"path\to\instantclient",
    config_dir=r"path\to\sqlnet.ora\folder"
)

若操作后trace文件生成，说明此前TNS_ADMIN环境变量未生效；若仍无trace文件，检查C:\oracle\logs目录的读写权限——确保运行Flask应用的用户拥有该目录的读写权限，避免放在C盘受限系统文件夹下。

3. 通过会话属性反推配置加载状态 #

建立数据库连接后，查询Oracle会话的加密属性，直接验证配置是否被应用：

from your_flask_app import db  # 导入你的Flask-SQLAlchemy实例

with db.engine.connect() as conn:
    result = conn.execute("SELECT s.encryption_algorithm, s.encryption_type FROM v$session s WHERE s.sid = SYS_CONTEXT('USERENV', 'SID')")
    row = result.fetchone()
    print(f"加密算法: {row[0]}, 加密类型: {row[1]}")

若返回的encryption_algorithm为AES256，则说明加密配置已生效，也间接证明sqlnet.ora被成功读取。

二、验证加密强制生效的额外手段 #

1. 测试无加密连接是否被拒绝 #

保持sqlnet.ora中SQLNET.ENCRYPTION_CLIENT = REQUIRED的配置，由DBA临时关闭数据库端加密支持：

ALTER SYSTEM SET SQLNET.ENCRYPTION_SERVER = REJECT SCOPE=BOTH;

此时启动Flask应用，若连接失败并抛出ORA-12650: No common encryption or data integrity algorithm类错误，说明客户端确实在强制要求加密，配置生效。测试完成后记得恢复数据库端配置：

ALTER SYSTEM SET SQLNET.ENCRYPTION_SERVER = ACCEPT SCOPE=BOTH;

2. 排查trace日志生成故障 #

若仍无法生成trace文件，尝试：

• 将TRACE_LEVEL_CLIENT改为ADMIN（与16等价，配置更直观）
• 简化trace目录路径，比如改为C:\oracle_trace，避免路径过长或权限限制
• 重启Flask应用（环境变量或配置修改后需重启应用才能生效）

内容的提问来源于stack exchange，提问作者Dan Shepherd