引言

在實(shí)際項(xiàng)目部署中，我們可能會(huì)遇到 Java 應(yīng)用調(diào)用某個(gè) HTTPS 接口失敗，特別是涉及公司網(wǎng)關(guān)（如 www.test.com）或 WAF 防護(hù)設(shè)備時(shí)，問(wèn)題常常集中在 SSL/TLS 證書(shū)驗(yàn)證失敗上。本文記錄一次完整的排查過(guò)程，并給出相關(guān)知識(shí)點(diǎn)補(bǔ)充。

問(wèn)題背景

Java 應(yīng)用通過(guò) java.net.HttpURLConnection 或 RestTemplate 等方式請(qǐng)求接口 https://www.test.com，卻出現(xiàn)如下異常：

javax.net.ssl.SSLHandshakeException: 
sun.security.validator.ValidatorException: PKIX path building failed: 
sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

問(wèn)題初步分析

該錯(cuò)誤表明 Java 無(wú)法信任目標(biāo)服務(wù)的 HTTPS 證書(shū)。常見(jiàn)原因有：

• 服務(wù)端證書(shū)是自簽名（Self-signed）
• 服務(wù)端證書(shū)鏈不完整
• Java SDK 默認(rèn)的 cacerts 信任庫(kù)中缺少對(duì)應(yīng)根證書(shū)或中間證書(shū)

特別注意：Java 不使用系統(tǒng)證書(shū)庫(kù)，而是依賴(lài)其內(nèi)置的 cacerts 信任庫(kù)。

排查過(guò)程

查看目標(biāo)地址證書(shū)

openssl s_client -connect www.test.com:443 -showcerts

可以看到目標(biāo)返回了一整套證書(shū)鏈，包括：

• 服務(wù)器證書(shū)（.crt）
• 中間證書(shū)（可能有多個(gè)）
• 根證書(shū)（部分環(huán)境不提供）

導(dǎo)入證書(shū)

你可能收到運(yùn)維/安全團(tuán)隊(duì)提供的證書(shū)文件，如：

www.test.com_public.crt
www.test.com_chain.crt
www.test.com.key

我們只需要 .crt 文件，通常導(dǎo)入 www.test.com_chain.crt 即可。

導(dǎo)入命令如下（以 JDK 默認(rèn) cacerts 為例）：

keytool -importcert \
  -trustcacerts \
  -alias test-gateway \
  -file www.test.com_chain.crt \
  -keystore $JAVA_HOME/lib/security/cacerts \
  -storepass changeit

驗(yàn)證證書(shū)是否導(dǎo)入成功

keytool -list -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit | grep duola

輸出示例：

test-gateway, Jul 31, 2025, trustedCertEntry,

重啟應(yīng)用

# 這是走默認(rèn)的cacerts信任庫(kù)
java -jar my-test-project-0.0.1-SNAPSHOT.jar
# 下邊是指定我們導(dǎo)入的信任庫(kù)
java -Djavax.net.ssl.trustStore=$JAVA_HOME/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit -jar my-test-project-0.0.1-SNAPSHOT.jar

此時(shí)如果請(qǐng)求成功，即可初步判定問(wèn)題解決。

進(jìn)一步驗(yàn)證：是否真的是證書(shū)問(wèn)題？

如果你懷疑是 WAF、CDN 等中間設(shè)備阻斷，可以用兩種方式驗(yàn)證：

1. 瀏覽器訪問(wèn)

瀏覽器訪問(wèn) https://www.test.com 是否提示 “證書(shū)不受信任”？如果沒(méi)有，一般說(shuō)明服務(wù)器證書(shū)鏈?zhǔn)峭暾?，?Java 環(huán)境中仍然缺少相應(yīng)的中間證書(shū)。

2. 抓包工具驗(yàn)證（如 Charles、Wireshark）

查看 TLS 握手過(guò)程是否被中斷或中間設(shè)備返回自定義證書(shū)。

補(bǔ)充知識(shí)點(diǎn)

Java 中默認(rèn)信任庫(kù)在哪里？

• 路徑：$JAVA_HOME/lib/security/cacerts
• 默認(rèn)密碼：changeit

如果要?jiǎng)h除已導(dǎo)入證書(shū)？

keytool -delete -alias test-gateway -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit

可否使用瀏覽器導(dǎo)出證書(shū)？

可以。在瀏覽器中點(diǎn)擊鎖圖標(biāo) → 查看證書(shū) → 導(dǎo)出為 .crt 文件，然后再導(dǎo)入 Java 信任庫(kù)。

總結(jié)

這次排查證明：

Java HTTPS 請(qǐng)求失敗，通常不是網(wǎng)絡(luò)或 WAF 問(wèn)題，而是 Java 缺少可信證書(shū)鏈中的中間證書(shū)。

解決方法也非常明確：

1. 獲取目標(biāo)服務(wù)的完整證書(shū)鏈
2. 將鏈中缺失的證書(shū)導(dǎo)入 Java 的 cacerts 信任庫(kù)
3. 重啟應(yīng)用驗(yàn)證是否成功

如果你在實(shí)際部署中也遇到類(lèi)似問(wèn)題，不妨從證書(shū)入手，按圖索驥逐步排查。

生產(chǎn)上解決

證書(shū)等級(jí)提升，開(kāi)始是從阿里云上夠買(mǎi)個(gè)人免費(fèi)版證書(shū)，提升證書(shū)等級(jí)就行了

以上就是Java HTTPS請(qǐng)求失敗排查與證書(shū)導(dǎo)入的全過(guò)程的詳細(xì)內(nèi)容，更多關(guān)于Java HTTPS請(qǐng)求失敗與證書(shū)導(dǎo)入的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！

最新評(píng)論