CREATE PROFILE

1.（可选）创建密码复杂度验证函数

要强制密码的复杂度，您需要先创建一个密码验证函数。该函数在用户设置或修改密码时被调用，如果密码不符合规则，函数应抛出异常来阻止操作。

-- 创建一个名为pwd_verify的函数
CREATE OR REPLACE FUNCTION public.pwd_verify(
  username     IN VARCHAR2,
  password     IN VARCHAR2,
  old_password IN VARCHAR2
) RETURN BOOLEAN
AS
BEGIN
  -- 规则1：密码不能为空
  IF password IS NULL THEN
    RAISE_APPLICATION_ERROR(-20000, '密码不能为空');
  END IF;

  -- 规则2：密码长度至少为8位
  IF LENGTH(password) < 8 THEN
    RAISE_APPLICATION_ERROR(-20001, '密码长度至少为8位');
  END IF;

  -- 规则3：密码必须包含至少1个大写字母、1个小写字母和1个特殊字符
  IF NOT REGEXP_LIKE(password, '[A-Z]') OR 
     NOT REGEXP_LIKE(password, '[a-z]') OR
     NOT REGEXP_LIKE(password, '[^A-Za-z0-9]') THEN
    RAISE_APPLICATION_ERROR(-20002, '密码必须包含大写字母、小写字母和特殊字符');
  END IF;

  RETURN TRUE;
END;
/

您也可以根据自己的安全要求，在函数中实现更复杂的验证逻辑，例如检查密码是否包含用户名、是否与历史密码过于相似等。

-- 创建自定义密码验证函数示例
CREATE OR REPLACE FUNCTION custom_password_verify
(username VARCHAR2, password VARCHAR2, old_password VARCHAR2)
RETURN BOOLEAN IS
BEGIN
    -- 检查密码长度
    IF LENGTH(password) < 8 THEN
        RAISE_APPLICATION_ERROR(-20001, '密码长度至少8位');
    END IF;

    -- 检查是否包含数字
    IF NOT REGEXP_LIKE(password, '[0-9]') THEN
        RAISE_APPLICATION_ERROR(-20002, '密码必须包含数字');
    END IF;

    -- 检查是否包含大写字母
    IF NOT REGEXP_LIKE(password, '[A-Z]') THEN
        RAISE_APPLICATION_ERROR(-20003, '密码必须包含大写字母');
    END IF;

    -- 检查是否包含小写字母
    IF NOT REGEXP_LIKE(password, '[a-z]') THEN
        RAISE_APPLICATION_ERROR(-20004, '密码必须包含小写字母');
    END IF;

    -- 检查是否包含特殊字符
    IF NOT REGEXP_LIKE(password, '[^A-Za-z0-9]') THEN
        RAISE_APPLICATION_ERROR(-20005, '密码必须包含特殊字符');
    END IF;

    RETURN TRUE;
END;

2. 创建PROFILE

使用CREATE PROFILE命令创建一个新的配置文件，并指定各项安全策略。

-- 创建一个名为secure_profile的配置文件
CREATE PROFILE secure_profile LIMIT
    FAILED_LOGIN_ATTEMPTS 3         -- 最多允许3次登录失败
    PASSWORD_LIFE_TIME 60           -- 密码有效期60天
    PASSWORD_REUSE_TIME 30          -- 30天内不能重用旧密码
    PASSWORD_REUSE_MAX 5            -- 必须更换5次密码后才能重用
    PASSWORD_VERIFY_FUNCTION pwd_verify -- 使用上一步创建的函数验证复杂度
    PASSWORD_LOCK_TIME 1            -- 账户锁定1天
    PASSWORD_GRACE_TIME 7;          -- 密码过期后有7天宽限期

3. 查看PROFILE信息

您可以通过查询dba_profiles视图来确认PROFILE的配置信息。

-- 查看 PROFILE 信息
SELECT *
FROM dba_profiles
WHERE profile = 'SECURE_PROFILE'
ORDER BY profile, resource_name;

4. 将PROFILE分配给用户

PROFILE创建后，需要将其分配给用户才能生效。

• 创建新用户时分配：

  CREATE USER john_doe IDENTIFIED BY "SecurePass123!" PROFILE secure_profile;

• 为现有用户分配：

  ALTER USER jane_doe PROFILE secure_profile;

5. 管理用户账户状态

当用户的账户因触发PROFILE中的策略（如登录失败次数过多）而被锁定时，您需要手动进行解锁。

• 解锁用户账户：

  ALTER USER john_doe ACCOUNT UNLOCK;

• 重置密码并解锁：
  在重置用户密码的同时，账户也会自动被解锁。

  ALTER USER john_doe IDENTIFIED BY "NewSecurePass456!" ACCOUNT UNLOCK;