Wiremock代理后端时为何未出现预期的SSL证书问题？

问题背景 #

我将Wiremock作为独立进程运行，代理所有请求至https://mybackend.net，但未出现预期的SSL证书问题，对此感到困惑。

Wiremock启动命令 #

java -jar wiremock-standalone-3.9.1.jar --port 9000 --proxy-all https://mybackend.net --enable-browser-proxying

Wiremock启动输出 #

version:                      3.9.1
port:                         9000
proxy-all:                    https://mybackend.net
preserve-host-header:         false
preserve-user-agent-proxy-header:false
enable-browser-proxying:      true
trust-all-proxy-targets:      false <----------------
ca-keystore:                  /Users/myuser/.wiremock/ca-keystore.jks
ca-keystore-type:             jks
disable-banner:               false
no-request-journal:           false
verbose:                      false

测试对比结果 #

• 直接用curl请求后端时触发SSL证书错误：

  curl -X GET "https://mybackend.net/somepath"
  

  输出：

  curl: (60) SSL certificate problem: self signed certificate in certificate chain
  More details here: https://curl.se/docs/sslcerts.html
  

• 通过Wiremock代理请求却成功响应：

  curl -X GET "http://localhost:9000/somepath"
  

补充说明：已验证密钥库/Users/myuser/.wiremock/ca-keystore.jks中不存在后端服务器的证书。

核心原因 #

问题出在--enable-browser-proxying参数的特殊行为上：
当启用该参数时，Wiremock会切换至浏览器代理模式，这个模式的设计目标是方便浏览器通过代理访问各类站点，因此会自动绕过标准SSL证书校验逻辑，强制信任所有目标服务器的证书，直接覆盖trust-all-proxy-targets=false的配置。

换句话说，trust-all-proxy-targets仅在普通代理模式下生效，一旦开启浏览器代理模式，该参数的设置就会被忽略。

验证与修复 #

如果需要Wiremock严格校验后端证书，只需移除--enable-browser-proxying参数。此时trust-all-proxy-targets=false会正常生效，Wiremock会按照标准SSL逻辑检查后端证书，即可出现预期的证书错误。

内容的提问来源于stack exchange，提问作者Marco Romero