验证过期SSL证书未抛出SSLHandshakeException问题排查求助

核心原因推测 #

客户端未抛出预期的SSLHandshakeException，核心原因大概率是证书验证逻辑未正确生效，常见场景包括：

• 客户端信任库包含过期自签名证书：若客户端使用的tlsTrustStoreFile中已导入该过期证书，需确认PKIX信任管理器是否被自定义逻辑跳过了有效期校验（Java默认PKIX会验证证书有效期，但自定义TrustManager可能绕过）。
• 客户端SSL上下文被配置为宽松验证：自定义的CliFactory.newTlsSocketBuilder可能内置了跳过验证的逻辑，比如自定义X509TrustManager未做任何校验、设置了NoopHostnameVerifier（虽不影响有效期，但可能伴随其他跳过逻辑）。
• 未触发完整SSL握手：若客户端仅创建socket builder但未执行连接、读写操作，SSL握手不会触发，自然不会抛出异常。

调试排查步骤 #

1. 开启客户端SSL调试日志 #

给客户端添加相同的调试参数，查看完整握手流程：

System.setProperty("javax.net.debug", "ssl,handshake");

重点关注：

• 客户端接收服务器证书后的验证日志，是否出现certificate expired相关提示
• 信任管理器初始化信息，确认使用的TrustManager实现类
• 握手完成状态，确认是否成功建立SSL连接

2. 检查CliFactory的内部实现 #

这个工厂类是问题关键，需确认：

• SSL上下文是否使用默认TrustManager，还是自定义实现
• 是否设置了SSLParameters跳过验证项
• 自定义X509TrustManager的checkServerTrusted方法是否包含有效期校验逻辑

3. 用JDK原生SSL客户端测试 #

绕过自定义工厂类，用原生代码验证连接：

public static void testNativeClient(int port) throws Exception {
    System.setProperty("javax.net.debug", "ssl,handshake");
    SSLContext sslContext = SSLContext.getDefault();
    SSLSocketFactory factory = sslContext.getSocketFactory();
    try (SSLSocket socket = (SSLSocket) factory.createSocket("localhost", port)) {
        socket.startHandshake(); // 主动触发握手
        System.out.println("握手成功：说明默认信任库信任该证书或验证被跳过");
    } catch (SSLHandshakeException e) {
        System.out.println("抛出预期异常：" + e.getMessage());
    }
}

• 若原生客户端抛异常：问题出在CliFactory的配置上
• 若原生客户端不抛异常：系统默认信任库（$JAVA_HOME/jre/lib/security/cacerts）包含该过期证书

4. 检查客户端信任库内容 #

用keytool命令查看信任库中的证书信息：

keytool -list -v -keystore path/to/tlsTrustStoreFile -storepass yourPassword

确认目标证书是否存在，以及其有效期是否与服务器端一致。

解决方案 #

1. 修复客户端证书验证逻辑 #

如果CliFactory使用自定义X509TrustManager，需添加完整的有效期校验：

@Override
public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException {
    // 调用默认PKIX验证逻辑（包含有效期、签名、信任链检查）
    TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    tmf.init((KeyStore) null); // 使用系统默认信任库
    X509TrustManager defaultTrustManager = (X509TrustManager) tmf.getTrustManagers()[0];
    defaultTrustManager.checkServerTrusted(chain, authType);
    
    // 显式检查证书有效期（兜底验证）
    for (X509Certificate cert : chain) {
        cert.checkValidity();
    }
}

2. 清理客户端信任库 #

若信任库中不必要地包含过期证书，执行删除操作：

keytool -delete -alias eric -keystore path/to/tlsTrustStoreFile -storepass yourPassword

3. 确保触发完整SSL握手 #

客户端创建socket后，需主动调用startHandshake()或执行读写操作（如发送请求、读取响应），触发SSL握手流程。

内容的提问来源于stack exchange，提问作者mikael petterson