Tomcat环境下Java JAX-WS多SSL证书切换失效及重置方法咨询

直接修改javax.net.ssl.*系统属性无法动态切换SSL证书，因为JVM会在首次创建SSL上下文时缓存这些配置，后续修改系统属性不会触发重新加载，导致始终使用第一次加载的证书。

解决方案 #

放弃依赖全局系统属性，改为手动构建SSL上下文，为每个目标服务器加载对应的证书，确保每次请求使用正确的SSL配置。

1. 封装SSL上下文构建工具类

创建工具方法，根据传入的证书路径、密码等参数，加载KeyStore和TrustStore，生成自定义SSLContext：

import javax.net.ssl.*;
import java.io.FileInputStream;
import java.security.KeyStore;

public class SSLContextUtils {
    public static SSLContext createSSLContext(String keyStorePath, String keyStorePassword, String trustStorePath, String trustStorePassword) throws Exception {
        // 加载客户端密钥库（PKCS12格式）
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        try (FileInputStream fis = new FileInputStream(keyStorePath)) {
            keyStore.load(fis, keyStorePassword.toCharArray());
        }

        // 加载信任库（JKS格式）
        KeyStore trustStore = KeyStore.getInstance("JKS");
        try (FileInputStream fis = new FileInputStream(trustStorePath)) {
            trustStore.load(fis, trustStorePassword.toCharArray());
        }

        // 初始化密钥管理器
        KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        keyManagerFactory.init(keyStore, keyStorePassword.toCharArray());

        // 初始化信任管理器
        TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        trustManagerFactory.init(trustStore);

        // 创建并初始化SSL上下文
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), null);

        return sslContext;
    }
}

2. 调用WebService时使用自定义SSL上下文

以Apache HttpClient为例（适配多数WebService调用场景）：

import org.apache.http.client.methods.HttpPost;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;

// 调用ServerA时，加载对应证书构建客户端
SSLContext serverASSLContext = SSLContextUtils.createSSLContext(
        "/Pahttofile/FilePFX1.pfx", 
        "XXXX", 
        CaCertsFileName, 
        "changeit"
);
CloseableHttpClient clientA = HttpClients.custom()
        .setSSLContext(serverASSLContext)
        .build();
// 使用clientA执行ServerA的WebService请求

// 调用ServerB时，切换证书构建新客户端
SSLContext serverBSSLContext = SSLContextUtils.createSSLContext(
        "/Pahttofile/FilePFX2.pfx", 
        "YYYY", 
        CaCertsFileName, 
        "changeit"
);
CloseableHttpClient clientB = HttpClients.custom()
        .setSSLContext(serverBSSLContext)
        .build();
// 使用clientB执行ServerB的WebService请求

如果使用原生HttpsURLConnection，可以这样设置：

// 构建对应服务器的SSL上下文
SSLContext sslContext = SSLContextUtils.createSSLContext("/Pahttofile/FilePFX1.pfx", "XXXX", CaCertsFileName, "changeit");
HttpsURLConnection connection = (HttpsURLConnection) new URL(serverAUrl).openConnection();
// 绑定自定义SocketFactory
connection.setSSLSocketFactory(sslContext.getSocketFactory());
// 后续执行请求逻辑

关键说明 #

• 全局系统属性仅在JVM首次初始化SSL上下文时生效，无法动态切换证书，务必避免依赖这种方式处理多证书场景。
• 为每个目标服务器维护独立的SSL上下文或HttpClient实例，确保证书完全隔离，不会互相干扰。
• 若使用JAX-WS客户端，可通过BindingProvider的上下文参数绑定自定义SSL上下文，实现证书切换。

内容的提问来源于stack exchange，提问作者Jose Luis Nebril