Spring Boot 3.3.5中mTLS配置测试失败问题排查

一、PKIX路径构建失败的原因 #

1. 服务器证书未被客户端信任 #

BadSSL的服务器证书链依赖的根CA不在JVM默认信任库（cacerts）中，且你配置的RestTemplate未加载包含该根CA的自定义信任库。mTLS要求客户端必须信任服务器的完整证书链，否则会触发路径构建失败错误。

2. mTLS配置不完整 #

你可能仅配置了客户端密钥对（供服务器验证客户端身份），但未正确配置信任库来校验服务器证书；或者信任库中缺少BadSSL服务器对应的根CA/中间CA证书，导致无法完成证书链的完整校验。

3. PEM格式证书未正确加载 #

Spring Boot默认SSL配置依赖JKS或PKCS12格式的密钥库/信任库，若直接使用PEM格式证书却未转换为标准密钥库格式，也未配置PEM专属加载逻辑（比如借助Spring Security的PEM支持），会导致证书无法被正确识别，进而引发信任校验失败。

二、无正式生产资源时的测试方案 #

1. 自签证书搭建本地mTLS闭环测试 #

• 用openssl生成自签根CA、服务器证书、客户端证书（均为PEM格式，完全模拟生产场景）：

  # 生成根CA私钥和证书
  openssl req -x509 -sha256 -days 365 -newkey rsa:2048 -keyout ca.key -out ca.crt
  # 生成服务器私钥和CSR，用根CA签名
  openssl req -newkey rsa:2048 -keyout server.key -out server.csr
  openssl x509 -req -sha256 -days 365 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt
  # 生成客户端私钥和CSR，用根CA签名
  openssl req -newkey rsa:2048 -keyout client.key -out client.csr
  openssl x509 -req -sha256 -days 365 -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt
  

• 搭建本地Spring Boot测试服务，配置mTLS要求客户端提供证书：
  在application.yml中配置服务器端SSL和mTLS：

  server:
    ssl:
      enabled: true
      key-store-type: PKCS12
      key-store: classpath:server.p12 # 将server.crt和server.key转换为PKCS12格式
      key-store-password: your-password
      trust-store: classpath:truststore.p12 # 导入根CA证书ca.crt
      trust-store-password: your-password
      client-auth: required
  

• 用你的客户端服务调用本地测试服务，验证mTLS双向认证流程是否正常。

2. 使用WireMock模拟mTLS服务器 #

• 配置WireMock启用mTLS模式，指定服务器证书、私钥，并设置信任客户端证书的根CA
• 让客户端服务调用WireMock的测试端点，验证mTLS配置是否生效

3. 临时信任BadSSL证书用于验证（仅测试用） #

• 下载BadSSL服务器的根CA证书，导入到自定义信任库：

  keytool -importcert -file badssl-root.crt -keystore my-truststore.p12 -storetype PKCS12 -storepassword your-password
  

• 修改RestTemplate的SSL配置，使用该自定义信任库，重新调用https://client.badssl.com/验证连接（注意：此方法仅用于测试，生产环境绝对不能信任未知CA）

4. 单元测试验证配置逻辑 #

• 使用Mockito或Spring Test框架，模拟SSL上下文加载过程，验证RestTemplate的mTLS配置是否正确初始化了密钥库和信任库
• 编写单元测试，检查证书加载、SSL上下文构建等关键逻辑是否正常，无需真实服务器即可验证配置正确性

内容的提问来源于stack exchange，提问作者Péter Baráth