Spring Boot通过SSL连接Cassandra时出现bad_certificate错误求助

问题重现 #

使用cqlsh携带.crt和.key文件可正常连接Cassandra，但将证书转换为JKS格式的keystore/truststore后，Spring Boot连接时抛出：

Caused by: javax.net.ssl.SSLHandshakeException: Received fatal alert: bad_certificate
at java.base/sun.security.ssl.Alert.createSSLException(Alert.java:131) ~[?:?]

核心原因分析 #

bad_certificate通常由以下场景导致：

• 证书转换过程错误，keystore未正确包含客户端私钥与证书对
• keystore/truststore的密码、格式不匹配
• 证书CN与Cassandra节点主机名不匹配，或证书已过期
• Cassandra要求双向认证，但客户端证书未被服务端信任
• SSL协议、算法配置与Cassandra不兼容

解决步骤 #

1. 重新正确转换证书 #

cqlsh使用的.crt（客户端证书）和.key（私钥）无法直接导入JKS，需先转为PKCS12格式，再转JKS（或直接使用PKCS12，JDK 9+推荐）：

步骤1：生成PKCS12格式的客户端证书库

openssl pkcs12 -export -in client.crt -inkey client.key -out client.p12 -name cassandra-client

执行时需设置并记录密码，后续keystore密码需与该密码一致。

步骤2：（可选）转JKS格式

如果坚持使用JKS，执行以下命令：

keytool -importkeystore -srckeystore client.p12 -srcstoretype PKCS12 -destkeystore client.jks -deststoretype JKS

步骤3：生成truststore（导入Cassandra CA证书）

keytool -import -alias cassandra-ca -file cassandra.crt -keystore truststore.jks

2. 修正SSLContext配置代码 #

推荐使用PKCS12格式替代JKS，提升兼容性；同时明确指定TLS版本，避免协议不匹配：

public SSLContext getSSLCertificate() {
    log.info("Initializing SSL context for Cassandra...");
    SSLContext sslContext = null;
    try {
        String keyStorePassword = usageServiceProperties.getCassandraKeyStorePassword();
        
        // 使用PKCS12格式的keystore（JDK 9+推荐）
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        keyStore.load(usageServiceProperties.getKeyStorePath().getInputStream(), keyStorePassword.toCharArray());
        
        KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        keyManagerFactory.init(keyStore, keyStorePassword.toCharArray());

        TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        KeyStore trustStore = KeyStore.getInstance("JKS"); // 若truststore是PKCS12则改为对应值
        trustStore.load(usageServiceProperties.getTrustStorePath().getInputStream(), keyStorePassword.toCharArray());
        trustManagerFactory.init(trustStore);
    
        // 指定与Cassandra兼容的TLS版本（如TLSv1.2，根据Cassandra版本调整）
        sslContext = SSLContext.getInstance("TLSv1.2");
        sslContext.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), new SecureRandom());

    } catch (Exception e) {
        log.error("Failed to initialize SSL context", e);
        throw new RuntimeException("SSL context initialization failed", e); // 不要吞异常，便于排查
    }

    return sslContext;
}

3. 额外排查点 #

• 检查Cassandra配置：确认cassandra.yaml中client_encryption_options的require_client_auth是否为true，若为true需确保Cassandra信任客户端证书（客户端证书需导入Cassandra的truststore）
• 验证证书有效性：使用keytool -list -v -keystore client.jks查看keystore中的证书信息，确认包含私钥与证书对
• 开启SSL调试日志：添加JVM参数-Djavax.net.debug=ssl,handshake，查看详细握手流程，定位具体错误环节
• 主机名匹配：若Cassandra开启主机名验证，需确保客户端证书的CN字段与Cassandra节点主机名一致

内容的提问来源于stack exchange，提问作者deepak aravind