Oracle JDBC TLSv1.3忽略匿名加密套件致SSL握手失败问题

• TLS版本与加密套件不匹配：日志里的Ignore unsupported cipher suite: SSL_DH_anon_WITH_3DES_EDE_CBC_SHA for TLSv1.3提示不是指套件被安全策略禁用，而是所有anon类传统加密套件均不属于TLS 1.3标准定义的合法套件范围。JDK 11默认优先协商TLS 1.3，只要握手走TLS 1.3协议上下文，JSSE实现会直接忽略所有非TLS 1.3标准套件，无论你怎么修改java.security禁用列表、怎么调用setEnabledCipherSuites都不会生效，这是JSSE的硬逻辑，没有配置开关可以绕过。
• JDBC驱动配置覆盖全局JDK参数：ojdbc11的thin驱动不会直接读取JDK全局的jdk.tls.client.cipherSuites、jdk.tls.server.cipherSuites系统属性，它内部初始化SSLEngine时会独立加载自身的SSL配置，会直接覆盖你通过全局设置、甚至反射调用API设置的套件、协议参数，这也是你手动调用setEnabledCipherSuites没有效果的核心原因——调用时机早于驱动自身的SSLEngine配置流程，值会被冲掉。
• Oracle服务端侧配置拦截：Oracle 21.3默认的SQL*Net SSL配置默认禁用所有anon匿名加密套件，同时优先协商TLS 1.3，就算客户端配置完全正确，服务端没有显式放开对应配置，握手阶段会直接返回fatal级别的handshake_failure告警，客户端侧无任何报错细节。

• 强制锁定TLS协商版本为TLS 1.2：anon套件没有TLS 1.3对应的实现，必须把两端的TLS版本都锁到TLS 1.2。客户端侧两层兜底：一是JVM启动参数加-Djdk.tls.client.protocols=TLSv1.2，二是JDBC连接串/连接属性显式加参数oracle.net.tls_version=TLSv1.2，彻底关闭TLS 1.3协商。
• 通过ojdbc官方属性指定加密套件：不要手动调用SSLEngine相关API，直接在JDBC连接属性里加oracle.net.tls_cipher_suites=SSL_DH_anon_WITH_3DES_EDE_CBC_SHA，这个参数是驱动初始化SSLEngine时直接读取的最高优先级配置，不会被内部逻辑覆盖。
• 调整Oracle 21.3服务端SQL*Net配置：
  1. 编辑服务端$ORACLE_HOME/network/admin/sqlnet.ora文件，设置SSL_VERSION = 1.2，关闭TLS 1.3协商
  2. 在SSL_CIPHER_SUITES配置项中添加目标匿名套件SSL_DH_anon_WITH_3DES_EDE_CBC_SHA
  3. 设置SSL_CLIENT_AUTHENTICATION = FALSE，anon套件不需要客户端证书认证，开启客户端认证会直接拒绝匿名套件协商
  4. 保存配置后重启Oracle监听与数据库服务，确保SQL*Net配置重新加载
• 配置验证：JVM启动加-Djavax.net.debug=ssl:handshake参数，观察ClientHello报文：确认协商协议版本为TLS 1.2，报文中携带目标anon套件，无忽略套件的提示；再观察ServerHello报文，确认服务端选中的套件为目标anon套件。如果仍报handshake_failure，直接查服务端的sqlnet跟踪日志定位拒绝原因，基本都是服务端配置未生效导致。

注意：3DES属于已知弱加密算法，匿名加密套件不做身份校验，存在中间人攻击、数据泄露风险，仅可用于隔离测试环境临时验证，生产环境禁止使用此类配置。

内容的提问来源于stack exchange，提问作者EMEM