Glassfish 7 cacerts.jks缺失多数证书问题求解

方案1：修改JVM参数指定全局信任库（最稳妥） #

不用动Glassfish自带的证书文件，直接通过JVM参数让它用JDK默认的cacerts：

• 打开Glassfish域配置文件：domains/domain1/config/domain.xml
• 找到<java-config>节点，添加以下两个jvm-options：

  <jvm-options>-Djavax.net.ssl.trustStore=${java.home}/lib/security/cacerts</jvm-options>
  <jvm-options>-Djavax.net.ssl.trustStorePassword=changeit</jvm-options>
  

  ${java.home}会自动适配Glassfish当前使用的JDK路径，Windows和Linux通用。如果你的JDK cacerts修改过默认密码，把changeit换成对应的密码就行。
• 重启Glassfish，之后应用发起SSL连接时会直接使用JDK的完整信任链，不用再手动导入证书。

方案2：安全替换Glassfish的cacerts.jks #

如果不想改配置文件，可以替换Glassfish的证书文件，但一定要先备份避免启动失败：

Linux环境 #

1. 先备份原证书：

   cp $GLASSFISH_HOME/domains/domain1/config/cacerts.jks $GLASSFISH_HOME/domains/domain1/config/cacerts.jks.bak
   

2. 优先用软链接（方便后续JDK更新同步证书）：

   ln -s ${JAVA_HOME}/lib/security/cacerts $GLASSFISH_HOME/domains/domain1/config/cacerts.jks
   

   如果软链接导致权限问题，直接复制JDK证书并同步权限：

   cp ${JAVA_HOME}/lib/security/cacerts $GLASSFISH_HOME/domains/domain1/config/cacerts.jks
   chmod --reference=$GLASSFISH_HOME/domains/domain1/config/cacerts.jks.bak $GLASSFISH_HOME/domains/domain1/config/cacerts.jks
   

Windows环境 #

1. 备份原证书：复制%GLASSFISH_HOME%\domains\domain1\config\cacerts.jks并重命名为cacerts.jks.bak
2. 复制JDK证书到Glassfish目录：

   copy "%JAVA_HOME%\lib\security\cacerts" "%GLASSFISH_HOME%\domains\domain1\config\cacerts.jks"
   

   注意路径有空格时要加引号。

• 替换后启动Glassfish测试，万一启动失败，直接恢复备份文件就能回滚。

关于官方问题的说明 #

你提到的这个问题确实存在多年，核心是Glassfish默认生成的信任库只包含自身服务器证书，没有继承JDK的完整信任链。你没遗漏什么，社区至今没有官方修复，上面的两种方案就是目前最实用的解决办法，既能搞定批量证书的问题，又能保证Glassfish稳定运行。

内容的提问来源于stack exchange，提问作者Filippo