1. 从一次“密码太简单”的报错说起最近在给一个使用达梦数据库的项目做数据迁移后的安全加固遇到了一个挺典型的问题。开发同事在尝试修改某个业务系统用户的密码时系统直接报错提示“密码不符合安全策略”。他试了几个自己常用的、有一定复杂度的密码组合依然通不过。这让他很困惑明明密码里有大小写字母和数字怎么就不安全了问题最终定位到达梦数据库的一个核心安全参数——PWD_POLICY上。这个参数就像数据库的“密码守门员”它定义了一套规则决定了什么样的密码才是被允许的。很多DBA和开发者在初次接触达梦时都会在这个参数上栽跟头要么是密码设不进去要么是设进去了但自己都记不住要么更糟——为了图省事直接把策略关了给系统埋下安全隐患。PWD_POLICY不是一个简单的开关而是一个位图式的策略集合。它的值是一个整数但这个整数的每一位二进制位都代表了一条独立的密码安全规则。是要求密码必须包含数字还是必须区分大小写或者是禁止使用用户名作为密码所有这些要求都通过这一个参数来集中管理。理解它不仅是解决“密码设不上”这种表面问题更是构建数据库访问安全第一道防线的关键。对于负责运维的DBA来说必须清楚如何根据企业的安全等级来配置它对于使用数据库的应用开发者而言了解它的规则能避免在用户管理功能上踩坑。接下来我们就彻底拆解这个参数看看它每一位都管着什么在实际环境中又该如何权衡安全与便利。2. PWD_POLICY参数位图策略的深度解析PWD_POLICY属于达梦数据库的静态参数也就是说修改它的值后需要重启数据库实例才能生效。这本身就暗示了它的重要性——它是数据库安全基线的组成部分不应被频繁或随意地变动。它的取值范围是0到31之间的整数在某些版本或特定模式下上限可能不同但0-31是标准范围。为什么是0到31因为它是用5个二进制位来表示5种不同的密码策略2的5次方是32所以从0二进制00000到31二进制11111正好覆盖所有策略的组合情况。每一位从最低位到高位对应的具体策略如下第0位值1禁止密码为空。这是最基本的安全要求。如果启用即该位为1则用户的密码不能设置为空字符串。在达梦中即使PWD_POLICY0通过SQL语句CREATE USER ... IDENTIFIED BY 理论上可以创建空密码用户但这是极其危险的行为。启用此策略能从根本上杜绝这种低级错误。第1位值2密码长度不小于9个字符。这是对密码复杂度的长度要求。启用后系统会强制检查密码长度。这里需要特别注意一个常见的误解这个“9”是默认值但它不是唯一可配置的长度。实际上密码最小长度由另一个参数PWD_MIN_LEN控制。PWD_POLICY的第1位是一个“开关”决定是否启用“密码最小长度检查”这个功能。而检查时具体用多长则去看PWD_MIN_LEN的值。很多文档没有强调这一点导致大家以为长度固定是9。所以完整的逻辑是如果PWD_POLICY的第1位为1则密码长度必须大于等于PWD_MIN_LEN默认9中设置的值。第2位值4密码必须包含数字0-9。启用后密码中至少需要有一个数字字符。这增加了密码的字符集复杂度防止纯字母密码被暴力破解的效率过高。第3位值8密码必须包含大写字母A-Z和小写字母a-z。注意这里是“与”的关系即密码中必须同时存在大写字母和小写字母。仅仅有大写或仅仅有小写是不符合要求的。这进一步扩大了密码使用的字符范围。第4位值16密码不能是用户名或用户名反转。这是一条很重要的安全策略防止攻击者使用最简单的猜测即用户名本身来尝试登录。例如用户名是“TESTUSER”那么“TESTUSER”或者反转后的“RESUTSET”都不能作为密码。理解了每一位的含义我们就能看懂任何PWD_POLICY值代表的意义。它通过“位或”运算来组合。例如PWD_POLICY 2二进制00010表示只启用了“密码长度不小于PWD_MIN_LEN”这一条策略。PWD_POLICY 15二进制01111计算过程1(禁空)2(长度)4(数字)8(大小写)15。表示启用了前四条策略但没启用“密码不能是用户名”。PWD_POLICY 31二进制1111112481631。表示所有五项策略全部启用这是最严格的密码策略。2.1 一个关键但易混淆的搭档PWD_MIN_LEN正如上文提到的PWD_MIN_LEN参数与PWD_POLICY的第1位紧密耦合。它是一个静态参数默认值为9。它的作用是定义密码的最小长度要求。但它的生效有一个前提PWD_POLICY的第1位必须为1。常见的配置误区只设置了PWD_MIN_LEN12但没有启用PWD_POLICY的长度策略即第1位不是1。此时长度限制根本不会生效。启用了PWD_POLICY的长度策略值为2或包含2的组合但以为最小长度就是9不知道可以通过PWD_MIN_LEN调整。正确的配合方式是首先确定你需要多长的密码比如12位然后设置PWD_MIN_LEN12。接着在设置PWD_POLICY时确保其值包含2例如如果你还要禁止空密码和包含数字那么PWD_POLICY 1 2 4 7。2.2 策略的应用时机与范围这些策略在什么时候起作用主要在两个阶段用户创建/修改时当执行CREATE USER或ALTER USER ... IDENTIFIED BY语句时数据库会拿你试图设置的密码去逐条匹配当前生效的PWD_POLICY规则。任何一条不符合语句就会失败。密码过期修改时如果设置了密码过期策略用户在登录时被要求修改密码新密码也必须符合当前的PWD_POLICY。一个需要特别注意的范围是这些策略通常只对通过SQL命令管理的数据库本地用户生效。对于通过外部认证如操作系统认证、LDAP认证的用户其密码策略由外部系统管理PWD_POLICY不干涉。3. 实战查看、配置与验证密码策略光说不练假把式我们直接上操作看看怎么管理这个参数。3.1 如何查看当前的密码策略登录到达梦数据库的管理工具如DM管理工具或使用命令行工具disql执行以下SQL-- 查看当前会话的PWD_POLICY值动态视图 SELECT * FROM V$PARAMETER WHERE NAME PWD_POLICY; -- 查看内存中实际的PWD_POLICY值动态视图 SELECT * FROM V$DM_INI WHERE PARA_NAME PWD_POLICY; -- 查看配置文件中的PWD_POLICY值静态需重启生效 SELECT * FROM V$PARAMETER WHERE NAME PWD_POLICY AND TYPE READ ONLY;通常我们更关心当前实际生效的值所以看V$PARAMETER或V$DM_INI即可。查询结果中VALUE列的数字就是当前的策略组合值。你需要根据第二节的知识把这个数字拆解成二进制看看每一位是0还是1从而知道具体启用了哪些策略。同时也查看一下最小长度设置SELECT * FROM V$PARAMETER WHERE NAME PWD_MIN_LEN;3.2 如何配置密码策略以DBA身份配置分为修改内存参数和修改配置文件两步因为这是静态参数。步骤一修改内存中的参数值立即生效但重启会丢失-- 将PWD_POLICY设置为最严格的31所有策略生效 SP_SET_PARA_VALUE(2, PWD_POLICY, 31); -- 将密码最小长度设置为12 SP_SET_PARA_VALUE(2, PWD_MIN_LEN, 12);这里SP_SET_PARA_VALUE的第一个参数2表示修改内存中的参数。执行后新的密码策略会立即生效。之后创建用户或修改密码就必须遵守新规则了。步骤二修改配置文件永久生效内存修改在重启后会失效所以必须修改配置文件dm.ini通常位于/dm8/data/DAMENG/目录下具体路径根据安装配置而定。找到dm.ini文件。搜索PWD_POLICY和PWD_MIN_LEN参数行。将其值修改为与内存中一致的目标值例如PWD_POLICY 31PWD_MIN_LEN 12。保存文件。步骤三验证配置修改并保存dm.ini后重启达梦数据库实例。重启后再次执行3.1中的查看命令确认PWD_POLICY和PWD_MIN_LEN的值已经变更为你设置的值并且TYPE显示为READ ONLY表示来自配置文件。3.3 模拟测试体验策略的拦截效果假设我们当前PWD_POLICY31全策略开启PWD_MIN_LEN9。我们尝试创建一个用户看看策略如何工作。-- 尝试1密码为空违反第0位策略 CREATE USER TEST1 IDENTIFIED BY ; -- 预期结果失败报错提示密码不符合策略。 -- 尝试2密码为“12345678”违反第1位策略长度不足9 CREATE USER TEST2 IDENTIFIED BY 12345678; -- 预期结果失败。 -- 尝试3密码为“abcdefghi”长度9但违反第2、3位策略无数字、无大写 CREATE USER TEST3 IDENTIFIED BY abcdefghi; -- 预期结果失败。 -- 尝试4密码为“Abcdefgh1”长度9包含大小写和数字且不是用户名 CREATE USER TEST4 IDENTIFIED BY Abcdefgh1; -- 预期结果成功通过这样的测试你可以非常直观地感受到每一条策略的作用。这对于向开发团队或业务部门解释“为什么密码必须这么复杂”非常有帮助。4. 高级场景与疑难问题排查在实际生产环境中配置密码策略不会总是一帆风顺。下面分享几个我遇到过的典型场景和排查思路。4.1 场景一历史用户密码不符合新策略怎么办这是一个非常现实的问题。当你在一个已运行的系统上收紧密码策略比如从0改为15那些现存用户的密码可能是在旧策略下设置的它们很可能不符合新策略。这时会发生什么达梦的处理机制是既往不咎但面向未来。即新策略不会去强制校验所有已存在用户的密码。现有用户仍然可以用他们的旧密码登录。但是一旦他们需要修改密码无论是主动修改还是因为密码过期被迫修改新设置的密码就必须符合当前最新的、更严格的PWD_POLICY规则。给DBA的操作建议沟通先行在提升策略等级前务必通知所有用户告知他们下次修改密码时需要满足的新规则例如“新密码必须至少12位且包含大小写字母和数字”并给出符合要求的密码例子。利用密码过期功能可以结合ALTER USER ... PASSWORD EXPIRE;命令强制特定用户在下次登录时修改密码从而推动密码更新计划。分批操作对于大型系统不要一次性对所有用户执行过期操作以免造成集中登录修改密码的拥堵。可以按部门或用户组分批进行。4.2 场景二第三方应用连接失败怀疑密码策略导致有时一个运行了很久的第三方应用如报表工具、ETL工具突然连接数据库失败报认证错误。在排查了网络、服务状态后可以检查一下密码策略。排查步骤确认应用使用的账号密码检查应用配置文件中连接数据库的账号和密码。模拟连接使用disql或管理工具用同样的账号密码尝试手动登录。如果手动登录成功问题可能不在密码策略而在连接串、驱动版本或应用自身。如果手动登录也失败仔细看错误信息。如果提示“密码错误”或“账户被锁定”先按常规流程处理。如果错误信息明确提到“密码不符合安全策略”那很可能是在别处修改了该用户的密码新密码没有满足当前的PWD_POLICY但应用配置里还是旧的密码。检查密码修改记录询问是否有DBA或其他人最近修改过该应用账户的密码。修改时是否遵循了策略新密码是否成功更新到了应用配置中临时解决方案与根本解决临时方案是让应用使用正确的、符合策略的新密码。根本解决是建立规范的账号密码修改流程任何数据库账号密码的变更必须同步更新所有相关应用的配置并做好记录。4.3 场景三PWD_POLICY参数修改了却不生效这是最让人头疼的情况之一。你已经执行了SP_SET_PARA_VALUE也修改了dm.ini重启后却发现策略好像没变。排查清单确认修改了正确的实例如果你管理多个达梦实例确保你连接、修改、重启的是同一个目标实例。检查dm.ini文件的路径是否正确。确认参数名拼写正确PWD_POLICY和PWD_MIN_LEN都是大小写敏感的。检查配置文件是否被正确读取重启数据库时观察启动日志/dm8/data/DAMENG/log/dm_实例名_日期.log搜索是否有加载配置文件的错误信息。有时配置文件格式错误如含有非法字符、编码问题会导致部分参数加载失败。检查是否有其他配置覆盖达梦数据库支持通过dmarch.ini等进行归档配置但通常不会覆盖核心参数。最可靠的还是直接查询V$PARAMETER视图。执行一次密码修改操作进行验证这是最终的验证手段。创建一个测试用户尝试用一个明显违反策略的简单密码如“123”看是否会报错。如果没报错说明策略确实没生效需要从头检查上述步骤。4.4 安全与便利的平衡艺术将PWD_POLICY设为31全开并设置一个很长的PWD_MIN_LEN如16无疑是最安全的但这会给用户带来极大的不便可能导致用户把密码写在便签上贴在显示器旁反而更不安全。我的经验是分级配置核心生产库安全优先PWD_POLICY可以设为31或15即启用除“非用户名”外的所有策略PWD_MIN_LEN设为12-14。同时强制开启密码过期如90天和失败登录锁定。开发测试库便利优先可以适当放宽。例如PWD_POLICY3仅禁止空密码和长度要求PWD_MIN_LEN8。这样既能保证基本安全又不会给频繁重建测试数据的开发人员带来太多麻烦。个人学习环境为了方便练习甚至可以暂时设为0。但务必记住这只是临时措施任何要接触真实数据的库都必须重新评估并设置合适的安全策略。记住安全策略的最终目标不是制造障碍而是引导和培养良好的安全习惯。在配置PWD_POLICY的同时配套的密码管理制度、用户安全教育同样不可或缺。
1. 从一次“密码太简单”的报错说起最近在给一个使用达梦数据库的项目做数据迁移后的安全加固遇到了一个挺典型的问题。开发同事在尝试修改某个业务系统用户的密码时系统直接报错提示“密码不符合安全策略”。他试了几个自己常用的、有一定复杂度的密码组合依然通不过。这让他很困惑明明密码里有大小写字母和数字怎么就不安全了问题最终定位到达梦数据库的一个核心安全参数——PWD_POLICY上。这个参数就像数据库的“密码守门员”它定义了一套规则决定了什么样的密码才是被允许的。很多DBA和开发者在初次接触达梦时都会在这个参数上栽跟头要么是密码设不进去要么是设进去了但自己都记不住要么更糟——为了图省事直接把策略关了给系统埋下安全隐患。PWD_POLICY不是一个简单的开关而是一个位图式的策略集合。它的值是一个整数但这个整数的每一位二进制位都代表了一条独立的密码安全规则。是要求密码必须包含数字还是必须区分大小写或者是禁止使用用户名作为密码所有这些要求都通过这一个参数来集中管理。理解它不仅是解决“密码设不上”这种表面问题更是构建数据库访问安全第一道防线的关键。对于负责运维的DBA来说必须清楚如何根据企业的安全等级来配置它对于使用数据库的应用开发者而言了解它的规则能避免在用户管理功能上踩坑。接下来我们就彻底拆解这个参数看看它每一位都管着什么在实际环境中又该如何权衡安全与便利。2. PWD_POLICY参数位图策略的深度解析PWD_POLICY属于达梦数据库的静态参数也就是说修改它的值后需要重启数据库实例才能生效。这本身就暗示了它的重要性——它是数据库安全基线的组成部分不应被频繁或随意地变动。它的取值范围是0到31之间的整数在某些版本或特定模式下上限可能不同但0-31是标准范围。为什么是0到31因为它是用5个二进制位来表示5种不同的密码策略2的5次方是32所以从0二进制00000到31二进制11111正好覆盖所有策略的组合情况。每一位从最低位到高位对应的具体策略如下第0位值1禁止密码为空。这是最基本的安全要求。如果启用即该位为1则用户的密码不能设置为空字符串。在达梦中即使PWD_POLICY0通过SQL语句CREATE USER ... IDENTIFIED BY 理论上可以创建空密码用户但这是极其危险的行为。启用此策略能从根本上杜绝这种低级错误。第1位值2密码长度不小于9个字符。这是对密码复杂度的长度要求。启用后系统会强制检查密码长度。这里需要特别注意一个常见的误解这个“9”是默认值但它不是唯一可配置的长度。实际上密码最小长度由另一个参数PWD_MIN_LEN控制。PWD_POLICY的第1位是一个“开关”决定是否启用“密码最小长度检查”这个功能。而检查时具体用多长则去看PWD_MIN_LEN的值。很多文档没有强调这一点导致大家以为长度固定是9。所以完整的逻辑是如果PWD_POLICY的第1位为1则密码长度必须大于等于PWD_MIN_LEN默认9中设置的值。第2位值4密码必须包含数字0-9。启用后密码中至少需要有一个数字字符。这增加了密码的字符集复杂度防止纯字母密码被暴力破解的效率过高。第3位值8密码必须包含大写字母A-Z和小写字母a-z。注意这里是“与”的关系即密码中必须同时存在大写字母和小写字母。仅仅有大写或仅仅有小写是不符合要求的。这进一步扩大了密码使用的字符范围。第4位值16密码不能是用户名或用户名反转。这是一条很重要的安全策略防止攻击者使用最简单的猜测即用户名本身来尝试登录。例如用户名是“TESTUSER”那么“TESTUSER”或者反转后的“RESUTSET”都不能作为密码。理解了每一位的含义我们就能看懂任何PWD_POLICY值代表的意义。它通过“位或”运算来组合。例如PWD_POLICY 2二进制00010表示只启用了“密码长度不小于PWD_MIN_LEN”这一条策略。PWD_POLICY 15二进制01111计算过程1(禁空)2(长度)4(数字)8(大小写)15。表示启用了前四条策略但没启用“密码不能是用户名”。PWD_POLICY 31二进制1111112481631。表示所有五项策略全部启用这是最严格的密码策略。2.1 一个关键但易混淆的搭档PWD_MIN_LEN正如上文提到的PWD_MIN_LEN参数与PWD_POLICY的第1位紧密耦合。它是一个静态参数默认值为9。它的作用是定义密码的最小长度要求。但它的生效有一个前提PWD_POLICY的第1位必须为1。常见的配置误区只设置了PWD_MIN_LEN12但没有启用PWD_POLICY的长度策略即第1位不是1。此时长度限制根本不会生效。启用了PWD_POLICY的长度策略值为2或包含2的组合但以为最小长度就是9不知道可以通过PWD_MIN_LEN调整。正确的配合方式是首先确定你需要多长的密码比如12位然后设置PWD_MIN_LEN12。接着在设置PWD_POLICY时确保其值包含2例如如果你还要禁止空密码和包含数字那么PWD_POLICY 1 2 4 7。2.2 策略的应用时机与范围这些策略在什么时候起作用主要在两个阶段用户创建/修改时当执行CREATE USER或ALTER USER ... IDENTIFIED BY语句时数据库会拿你试图设置的密码去逐条匹配当前生效的PWD_POLICY规则。任何一条不符合语句就会失败。密码过期修改时如果设置了密码过期策略用户在登录时被要求修改密码新密码也必须符合当前的PWD_POLICY。一个需要特别注意的范围是这些策略通常只对通过SQL命令管理的数据库本地用户生效。对于通过外部认证如操作系统认证、LDAP认证的用户其密码策略由外部系统管理PWD_POLICY不干涉。3. 实战查看、配置与验证密码策略光说不练假把式我们直接上操作看看怎么管理这个参数。3.1 如何查看当前的密码策略登录到达梦数据库的管理工具如DM管理工具或使用命令行工具disql执行以下SQL-- 查看当前会话的PWD_POLICY值动态视图 SELECT * FROM V$PARAMETER WHERE NAME PWD_POLICY; -- 查看内存中实际的PWD_POLICY值动态视图 SELECT * FROM V$DM_INI WHERE PARA_NAME PWD_POLICY; -- 查看配置文件中的PWD_POLICY值静态需重启生效 SELECT * FROM V$PARAMETER WHERE NAME PWD_POLICY AND TYPE READ ONLY;通常我们更关心当前实际生效的值所以看V$PARAMETER或V$DM_INI即可。查询结果中VALUE列的数字就是当前的策略组合值。你需要根据第二节的知识把这个数字拆解成二进制看看每一位是0还是1从而知道具体启用了哪些策略。同时也查看一下最小长度设置SELECT * FROM V$PARAMETER WHERE NAME PWD_MIN_LEN;3.2 如何配置密码策略以DBA身份配置分为修改内存参数和修改配置文件两步因为这是静态参数。步骤一修改内存中的参数值立即生效但重启会丢失-- 将PWD_POLICY设置为最严格的31所有策略生效 SP_SET_PARA_VALUE(2, PWD_POLICY, 31); -- 将密码最小长度设置为12 SP_SET_PARA_VALUE(2, PWD_MIN_LEN, 12);这里SP_SET_PARA_VALUE的第一个参数2表示修改内存中的参数。执行后新的密码策略会立即生效。之后创建用户或修改密码就必须遵守新规则了。步骤二修改配置文件永久生效内存修改在重启后会失效所以必须修改配置文件dm.ini通常位于/dm8/data/DAMENG/目录下具体路径根据安装配置而定。找到dm.ini文件。搜索PWD_POLICY和PWD_MIN_LEN参数行。将其值修改为与内存中一致的目标值例如PWD_POLICY 31PWD_MIN_LEN 12。保存文件。步骤三验证配置修改并保存dm.ini后重启达梦数据库实例。重启后再次执行3.1中的查看命令确认PWD_POLICY和PWD_MIN_LEN的值已经变更为你设置的值并且TYPE显示为READ ONLY表示来自配置文件。3.3 模拟测试体验策略的拦截效果假设我们当前PWD_POLICY31全策略开启PWD_MIN_LEN9。我们尝试创建一个用户看看策略如何工作。-- 尝试1密码为空违反第0位策略 CREATE USER TEST1 IDENTIFIED BY ; -- 预期结果失败报错提示密码不符合策略。 -- 尝试2密码为“12345678”违反第1位策略长度不足9 CREATE USER TEST2 IDENTIFIED BY 12345678; -- 预期结果失败。 -- 尝试3密码为“abcdefghi”长度9但违反第2、3位策略无数字、无大写 CREATE USER TEST3 IDENTIFIED BY abcdefghi; -- 预期结果失败。 -- 尝试4密码为“Abcdefgh1”长度9包含大小写和数字且不是用户名 CREATE USER TEST4 IDENTIFIED BY Abcdefgh1; -- 预期结果成功通过这样的测试你可以非常直观地感受到每一条策略的作用。这对于向开发团队或业务部门解释“为什么密码必须这么复杂”非常有帮助。4. 高级场景与疑难问题排查在实际生产环境中配置密码策略不会总是一帆风顺。下面分享几个我遇到过的典型场景和排查思路。4.1 场景一历史用户密码不符合新策略怎么办这是一个非常现实的问题。当你在一个已运行的系统上收紧密码策略比如从0改为15那些现存用户的密码可能是在旧策略下设置的它们很可能不符合新策略。这时会发生什么达梦的处理机制是既往不咎但面向未来。即新策略不会去强制校验所有已存在用户的密码。现有用户仍然可以用他们的旧密码登录。但是一旦他们需要修改密码无论是主动修改还是因为密码过期被迫修改新设置的密码就必须符合当前最新的、更严格的PWD_POLICY规则。给DBA的操作建议沟通先行在提升策略等级前务必通知所有用户告知他们下次修改密码时需要满足的新规则例如“新密码必须至少12位且包含大小写字母和数字”并给出符合要求的密码例子。利用密码过期功能可以结合ALTER USER ... PASSWORD EXPIRE;命令强制特定用户在下次登录时修改密码从而推动密码更新计划。分批操作对于大型系统不要一次性对所有用户执行过期操作以免造成集中登录修改密码的拥堵。可以按部门或用户组分批进行。4.2 场景二第三方应用连接失败怀疑密码策略导致有时一个运行了很久的第三方应用如报表工具、ETL工具突然连接数据库失败报认证错误。在排查了网络、服务状态后可以检查一下密码策略。排查步骤确认应用使用的账号密码检查应用配置文件中连接数据库的账号和密码。模拟连接使用disql或管理工具用同样的账号密码尝试手动登录。如果手动登录成功问题可能不在密码策略而在连接串、驱动版本或应用自身。如果手动登录也失败仔细看错误信息。如果提示“密码错误”或“账户被锁定”先按常规流程处理。如果错误信息明确提到“密码不符合安全策略”那很可能是在别处修改了该用户的密码新密码没有满足当前的PWD_POLICY但应用配置里还是旧的密码。检查密码修改记录询问是否有DBA或其他人最近修改过该应用账户的密码。修改时是否遵循了策略新密码是否成功更新到了应用配置中临时解决方案与根本解决临时方案是让应用使用正确的、符合策略的新密码。根本解决是建立规范的账号密码修改流程任何数据库账号密码的变更必须同步更新所有相关应用的配置并做好记录。4.3 场景三PWD_POLICY参数修改了却不生效这是最让人头疼的情况之一。你已经执行了SP_SET_PARA_VALUE也修改了dm.ini重启后却发现策略好像没变。排查清单确认修改了正确的实例如果你管理多个达梦实例确保你连接、修改、重启的是同一个目标实例。检查dm.ini文件的路径是否正确。确认参数名拼写正确PWD_POLICY和PWD_MIN_LEN都是大小写敏感的。检查配置文件是否被正确读取重启数据库时观察启动日志/dm8/data/DAMENG/log/dm_实例名_日期.log搜索是否有加载配置文件的错误信息。有时配置文件格式错误如含有非法字符、编码问题会导致部分参数加载失败。检查是否有其他配置覆盖达梦数据库支持通过dmarch.ini等进行归档配置但通常不会覆盖核心参数。最可靠的还是直接查询V$PARAMETER视图。执行一次密码修改操作进行验证这是最终的验证手段。创建一个测试用户尝试用一个明显违反策略的简单密码如“123”看是否会报错。如果没报错说明策略确实没生效需要从头检查上述步骤。4.4 安全与便利的平衡艺术将PWD_POLICY设为31全开并设置一个很长的PWD_MIN_LEN如16无疑是最安全的但这会给用户带来极大的不便可能导致用户把密码写在便签上贴在显示器旁反而更不安全。我的经验是分级配置核心生产库安全优先PWD_POLICY可以设为31或15即启用除“非用户名”外的所有策略PWD_MIN_LEN设为12-14。同时强制开启密码过期如90天和失败登录锁定。开发测试库便利优先可以适当放宽。例如PWD_POLICY3仅禁止空密码和长度要求PWD_MIN_LEN8。这样既能保证基本安全又不会给频繁重建测试数据的开发人员带来太多麻烦。个人学习环境为了方便练习甚至可以暂时设为0。但务必记住这只是临时措施任何要接触真实数据的库都必须重新评估并设置合适的安全策略。记住安全策略的最终目标不是制造障碍而是引导和培养良好的安全习惯。在配置PWD_POLICY的同时配套的密码管理制度、用户安全教育同样不可或缺。
)
)
