Oracle 18C PL/SQL发起HTTPS请求遇ORA-29024证书验证失败求助

针对你遇到的UTL_HTTP请求HTTPS时触发ORA-29024错误、HTTP请求正常的情况，可按以下步骤排查解决：

1. 验证钱包内证书链的完整性与正确性 #

• 使用Oracle orapki工具检查钱包内容，确认包含的可信证书是否匹配IBM官网的完整证书链：

  orapki wallet display -wallet /path/to/your/wallet_location
  

  注意：访问公网HTTPS服务（如IBM官网）无需添加用户证书，仅需信任根CA证书和中间CA证书，多余的用户证书可能干扰验证逻辑，可尝试移除后重试。
• 用openssl检查证书有效期，避免使用过期证书：

  openssl x509 -in your_cert.pem -noout -dates
  

• 通过openssl获取IBM官网的完整证书链，对比钱包内的证书是否一致：

  openssl s_client -connect www.ibm.com:443 -showcerts
  

  将输出中的根CA和中间CA证书提取出来，替换钱包内的对应证书。

2. 确认钱包配置与权限 #

• 检查PL/SQL脚本中钱包路径和密码的正确性，路径需以file:开头，使用绝对路径：

  UTL_HTTP.SET_WALLET('file:/absolute/path/to/wallet', 'your_wallet_password');
  

• 确保Oracle数据库进程对钱包目录及文件拥有读取权限：
  • 目录权限需至少为750，文件权限为640
  • 所有者需为Oracle安装用户（如oracle）
• 如果创建钱包时未启用自动登录，必须在SET_WALLET中指定密码；若启用了自动登录（创建时加-auto_login参数），密码可省略。

3. 排除证书吊销检查问题 #

Oracle默认会执行证书吊销列表（CRL）或OCSP检查，若数据库无法访问CRL服务器，会导致验证失败。可临时禁用CRL检查测试：

UTL_HTTP.SET_CONFIG('DISABLE_CRL_CHECK', 'TRUE');

若禁用后请求成功，说明是CRL访问问题，可配置数据库网络访问CRL服务器，或在安全允许的前提下永久禁用该检查（需修改数据库初始化参数或通过UTL_HTTP全局配置）。

4. 启用UTL_HTTP调试跟踪 #

开启UTL_HTTP的详细跟踪，获取证书验证的具体失败原因：

UTL_HTTP.SET_TRACE_LEVEL(UTL_HTTP.TRACE_ALL);
UTL_HTTP.SET_TRACE_FILE('/tmp/utl_http_trace.log'); -- 指定可写入的日志路径

执行请求后查看日志，可定位是证书链缺失、根证书不被信任还是名称匹配失败等具体问题。

5. 检查证书名称匹配 #

确认证书的Subject Alternative Name（SAN）字段包含www.ibm.com：

openssl x509 -in your_root_cert.pem -noout -ext subjectAltName

Oracle 18C对证书名称匹配的检查较为严格，若证书仅包含CN字段而无SAN，可能导致验证失败（部分旧CA证书存在此问题）。

内容的提问来源于stack exchange，提问作者elongez