📌 背景
在日常数据库运维中，我们经常会遇到这样的场景：
-
开发人员忘记了数据库用户的密码
-
应用连接池报错
ORA-28001: the password has expired -
密码策略被修改，导致大量用户密码过期
-
密码被误修改，但不知道原来的密码是什么
当你遇到这些情况时，Oracle 的密码哈希值（SPARE4） 可以帮你优雅地解决问题。
🔍 Oracle 密码存储机制
在 Oracle 11g 及更高版本中，用户密码以哈希值 的形式存储在 SYS.USER$ 表的 SPARE4 列中。
存储格式：
S:<加盐哈希>;T:<哈希值>-
S:部分：包含加盐的 SHA-1 哈希 -
T:部分：包含额外的哈希信息（用于兼容性）
这个哈希值就是 Oracle 用来验证密码的"指纹"。只要知道这个哈希值，我们就能将用户密码恢复为原来的状态，而无需知道明文密码。
🛠️ 实战：恢复用户密码
第一步：查询用户状态
SELECT USERNAME, ACCOUNT_STATUS, EXPIRY_DATE, PROFILE
FROM DBA_USERS
WHERE USERNAME = '目标用户名';如果状态是 EXPIRED 或 LOCKED，就需要进行恢复。
第二步：获取密码哈希值
SELECT SPARE4 FROM SYS.USER$ WHERE NAME = '目标用户名';输出示例：
S:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx;T:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx第三步：使用哈希值还原密码
ALTER USER 目标用户名 IDENTIFIED BY VALUES '完整的哈希值（S:...;T:...）' ACCOUNT UNLOCK;关键点：
-
使用
IDENTIFIED BY VALUES而不是IDENTIFIED BY -
哈希值必须完整复制，不能有遗漏
-
最后加上
ACCOUNT UNLOCK解锁账户
第四步：验证恢复结果
SELECT USERNAME, ACCOUNT_STATUS, LOCK_DATE, EXPIRY_DATE
FROM DBA_USERS
WHERE USERNAME = '目标用户名';期望输出：
USERNAME ACCOUNT_STATUS LOCK_DATE EXPIRY_DATE
---------- --------------- ---------- -----------
目标用户名 OPEN (NULL)📋 批量恢复多个用户
如果需要恢复多个用户，可以批量执行：
-- 查询所有需要恢复的用户
SELECT NAME, SPARE4 FROM SYS.USER$
WHERE NAME IN ('用户1', '用户2', '用户3');
-- 生成恢复语句
SELECT 'ALTER USER ' || NAME || ' IDENTIFIED BY VALUES ''' || SPARE4 || ''' ACCOUNT UNLOCK;' AS SQL_COMMAND
FROM SYS.USER$
WHERE NAME IN ('用户1', '用户2', '用户3');⚠️ 重要提醒
1. 哈希值不是密码
| 操作 | 说明 |
|---|---|
IDENTIFIED BY VALUES '哈希值' |
✅ 用于数据库内部恢复密码 |
CONN username/哈希值 |
❌ 不能用于登录（哈希值不是明文密码） |
2. 哈希值来源
-
可以从
SYS.USER$表中获取 -
可以从数据库备份中提取
-
如果用户被删除重建，哈希值会改变
3. 权限要求
-- 需要 DBA 权限才能查询 SYS.USER$
GRANT SELECT ON SYS.USER$ TO 用户名;4. 版本兼容性
| Oracle 版本 | 哈希值存储位置 |
|---|---|
| 10g 及更早 | PASSWORD 列 |
| 11g 及以后 | SPARE4 列（优先） |
🔧 常见问题排查
Q1：SPARE4 为 NULL 怎么办？
-- 使用旧版 PASSWORD 列
SELECT PASSWORD FROM SYS.USER$ WHERE NAME = '目标用户名';
-- 使用旧版哈希恢复
ALTER USER 目标用户名 IDENTIFIED BY VALUES '旧版哈希值' ACCOUNT UNLOCK;Q2：用户仍然是 EXPIRED 状态？
-- 强制解锁并重新设置密码
ALTER USER 目标用户名 IDENTIFIED BY VALUES '哈希值' ACCOUNT UNLOCK;Q3：应用仍然报错 ORA-01017？
可能是应用配置中的密码与恢复后的密码不一致。解决方案：
-
在应用配置中更新密码
-
或者将数据库密码改为应用配置中的密码
📊 完整恢复流程图
┌─────────────────┐
│ 用户密码过期/锁定 │
└────────┬────────┘
▼
┌─────────────────────────┐
│ SELECT SPARE4 FROM SYS.USER$ │
└────────┬────────────────┘
▼
┌─────────────────────────────────────────┐
│ ALTER USER 用户 IDENTIFIED BY VALUES '哈希值' │
│ ACCOUNT UNLOCK; │
└────────┬────────────────────────────────┘
▼
┌─────────────────┐
│ 验证 ACCOUNT_STATUS │
└────────┬────────┘
▼
┌─────────────────┐
│ ✅ 密码恢复成功！ │
└─────────────────┘🎯 总结
| 方法 | 优点 | 缺点 |
|---|---|---|
| 使用哈希值恢复 | ✅ 保留原密码 | ⚠️ 需要 DBA 权限 |
| 重置密码 | ✅ 操作简单 | ❌ 需要同步应用配置 |
| 从备份恢复 | ✅ 数据完整 | ❌ 耗时、风险高 |
推荐做法：在紧急情况下，优先使用哈希值恢复密码。如果不知道原密码或需要统一管理，则重置为已知密码并同步更新应用配置。