如何在Apache CXF中通过代码配置SSL客户端证书？

你的问题出在仅设置sslContext可能不足以让CXF正确使用客户端证书，还需要确保密钥管理器被正确配置，或者TLS参数的其他关键项被设置。以下是修正后的方案：

1. 确保SSLContext正确加载客户端证书 #

首先确认sslContextWithCert是用包含客户端证书的密钥库和对应信任库初始化的。示例构建代码如下：

val keyStorePassword = "your-keystore-password".toCharArray()
val trustStorePassword = "your-truststore-password".toCharArray()

// 加载客户端密钥库（包含客户端证书和私钥）
val keyStore = KeyStore.getInstance("PKCS12")
FileInputStream("path/to/client-keystore.p12").use { keyStore.load(it, keyStorePassword) }

// 加载信任库（信任服务器证书）
val trustStore = KeyStore.getInstance("JKS")
FileInputStream("path/to/truststore.jks").use { trustStore.load(it, trustStorePassword) }

// 初始化密钥管理器和信任管理器
val keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm())
keyManagerFactory.init(keyStore, keyStorePassword)

val trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm())
trustManagerFactory.init(trustStore)

// 构建SSLContext
val sslContextWithCert = SSLContext.getInstance("TLS")
sslContextWithCert.init(keyManagerFactory.keyManagers, trustManagerFactory.trustManagers, null)

2. 完整配置HTTPConduit的TLS参数 #

不要直接新建TLSClientParameters替换原有参数，建议先获取现有参数再修改，同时确保密钥管理器和SSLContext都正确设置：

val service = SoapyService()
val port = service.soapyPort

val cond = ClientProxy.getClient(port).conduit as HTTPConduit

// 获取或初始化TLS参数
val tlsParams = cond.tlsClientParameters ?: TLSClientParameters()
tlsParams.apply {
    sslContext = sslContextWithCert
    // 显式设置密钥管理器（如果SSLContext已包含，这一步可省略，但显式设置更稳妥）
    keyManagers = keyManagerFactory.keyManagers
    // 如果服务器证书的CN与请求域名不匹配（仅测试环境用，生产禁用）
    // disableCNCheck = true
}

cond.tlsClientParameters = tlsParams
// 可选：设置连接超时等参数
cond.client = HTTPClientPolicy().apply {
    connectionTimeout = 30000
    receiveTimeout = 30000
}

val result = port.login(username, password)

常见排查点 #

• 确认密钥库格式正确（PKCS12或JKS），路径无误，密码正确。
• 检查客户端证书是否被服务器信任，或者信任库是否包含服务器的根证书。
• 启用CXF的DEBUG日志，查看SSL握手的详细错误信息：

  System.setProperty("org.apache.cxf.logging.enabled", "true")
  System.setProperty("org.apache.cxf.logger", "org.apache.cxf.common.logging.Slf4jLogger")
  // 或者直接配置日志框架（如Logback）输出org.apache.cxf.transport.http的DEBUG级别日志
  

内容的提问来源于stack exchange，提问作者Ian Rehwinkel