Spring Boot SSLBundle是否支持无CA的双向认证证书？

Spring Boot 的 SSLBundle 完全支持无CA的自签名证书双向认证场景，你遇到的PKIX路径构建失败错误，本质是证书信任链的配置问题，而非功能不支持。

错误根源 #

PKIX路径构建失败的核心原因是：无CA签发的自签名证书本身没有上级信任链，默认的TLS验证逻辑会尝试从根CA开始构建信任路径，找不到合法的签发者就会抛出错误。解决的关键是让通信双方直接信任对方的自签名证书，而非依赖CA链。

具体解决步骤 #

1. 确保信任库包含对方证书

   • 服务端的信任库（truststore）必须导入客户端的自签名证书
   • 客户端的信任库必须导入服务端的自签名证书
   • 生成信任库时，可使用keytool命令直接导入对方证书：

     keytool -importcert -alias client-cert -file client.crt -keystore server-truststore.p12 -storetype PKCS12
     

2. 正确配置 SSLBundle
   在application.yml或application.properties中明确指定密钥库和信任库的路径、密码，同时开启双向认证：

   spring:
     ssl:
       bundles:
         mutual-auth-bundle:
           key:
             store:
               type: PKCS12
               location: classpath:server-keystore.p12
               password: your-keystore-pass
           trust:
             store:
               type: PKCS12
               location: classpath:server-truststore.p12
               password: your-truststore-pass
           options:
             verify-mode: REQUIRE # 强制双向认证
             # 生产环境禁止使用disable-trust-manager，必须通过信任库指定信任的证书
             # disable-trust-manager: true
   

3. JDK 23 适配注意
   JDK 23 默认收紧了TLS安全策略，生成证书时需使用兼容的加密算法（如RSA 2048位+SHA-256签名），避免因算法不被信任导致的验证失败。

额外排查点 #

• 检查证书的Subject Alternative Name（SAN）是否包含通信的主机名/IP，主机名不匹配也会触发PKIX相关错误
• 确认密钥库和信任库的文件路径、密码配置正确，避免因文件找不到或密码错误导致加载失败

内容的提问来源于stack exchange，提问作者Đỗ Như Vỹ