macOS下Azurite配置自签名SSL证书后Java客户端认证失败求助

核心问题梳理 #

在macOS上为Azurite配置自签SSL证书后：

• curl测试HTTPS连接正常，无SSL错误
• Azure Blob Storage Java SDK连接时触发403 AuthorizationFailure，无法执行容器创建/文件上传操作

排查与修复步骤 #

1. 检查自签证书的SAN（Subject Alternative Name）配置 #

Java SSL对证书的SAN字段要求严格，curl可忽略该字段缺失，但Java SDK会因证书未包含localhost或Azurite绑定IP/域名的SAN条目导致认证失败。

• 新建openssl.cnf配置文件，添加SAN规则：

  [req]
  distinguished_name = req_distinguished_name
  x509_extensions = v3_ca
  prompt = no
  
  [req_distinguished_name]
  CN = localhost
  
  [v3_ca]
  subjectAltName = @alt_names
  
  [alt_names]
  DNS.1 = localhost
  IP.1 = 127.0.0.1
  

• 重新生成证书：

  openssl req -x509 -newkey rsa:4096 -keyout localhost.key -out localhost.crt -days 365 -nodes -config openssl.cnf
  

2. 验证Azurite启动时的证书配置 #

确保Azurite启动时正确指定证书路径，且文件权限符合要求：

• 启动命令示例（替换为你的证书实际路径）：

  azurite --blobHost 0.0.0.0 --blobPort 10000 --cert ./localhost.crt --key ./localhost.key
  

• 修复证书文件权限：

  chmod 644 localhost.crt localhost.key
  

3. 确认Java SDK连接配置正确性 #

Java SDK连接Azurite时需注意以下细节：

• 显式指定HTTPS格式的endpoint，例如https://localhost:10000/devstoreaccount1
• 确保JVM加载了导入证书的信任库，启动Java程序时添加VM参数：

  -Djavax.net.ssl.trustStore=/path/to/your/cacerts -Djavax.net.ssl.trustStorePassword=changeit
  

• 检查Azurite默认账号密钥是否正确：默认账号为devstoreaccount1，密钥为Eby8vdM02xNOcqFlqUwJPLlmEtlCDXJ1OUzFT50uSRZ6IFsuFq2UVErCz4I6tq/K1SZFPTOtr/KBHBeksoGMGw==，避免填写错误
• 若使用自定义信任库，可在代码中配置SSLContext：

  // 加载自定义信任库
  KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
  FileInputStream fis = new FileInputStream("/path/to/your/truststore.jks");
  trustStore.load(fis, "your-password".toCharArray());
  TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
  tmf.init(trustStore);
  SSLContext sslContext = SSLContext.getInstance("TLS");
  sslContext.init(null, tmf.getTrustManagers(), null);
  
  // 构建BlobServiceClient并指定SSLContext
  BlobServiceClient client = new BlobServiceClientBuilder()
      .endpoint("https://localhost:10000/devstoreaccount1")
      .credential(new AzureNamedKeyCredential("devstoreaccount1", "Eby8vdM02xNOcqFlqUwJPLlmEtlCDXJ1OUzFT50uSRZ6IFsuFq2UVErCz4I6tq/K1SZFPTOtr/KBHBeksoGMGw=="))
      .httpClient(HttpClient.createDefault().configure(builder -> builder.sslContext(sslContext)))
      .buildClient();
  

4. 检查系统时间同步 #

Azurite的Shared Key认证依赖时间戳，本地系统时间与Azurite服务器时间差超过15分钟会触发403错误：

• 执行date命令查看本地时间，在macOS系统设置-日期与时间中开启自动同步功能

5. 验证证书导入到正确的Java信任库 #

确保证书导入到当前JVM使用的cacerts文件：

• 查找当前JVM的cacerts路径：/Library/Java/JavaVirtualMachines/<jdk-version>/Contents/Home/lib/security/cacerts
• 导入证书命令示例：

  sudo keytool -importcert -file ./localhost.crt -alias azurite-localhost -keystore /Library/Java/JavaVirtualMachines/jdk-17.jdk/Contents/Home/lib/security/cacerts -storepass changeit
  

• 验证导入结果：

  keytool -list -alias azurite-localhost -keystore /Library/Java/JavaVirtualMachines/jdk-17.jdk/Contents/Home/lib/security/cacerts -storepass changeit
  

额外排查步骤 #

若以上步骤无效，开启Java SSL调试日志查看握手细节：

• 添加VM参数：-Djavax.net.debug=ssl,handshake
• 日志会显示证书验证流程、信任库加载状态，帮助定位具体问题

内容的提问来源于stack exchange，提问作者nyholku