使用RestTemplate时遭遇No required SSL certificate was sent错误求助

错误原因分析 #

从提供的代码来看，导致该错误的核心原因有以下几点：

1. 信任库与密钥库路径混淆 #

在加载密钥库和信任库的代码中，信任库错误地复用了密钥库的路径，导致信任库配置完全无效：

trustStore.load(Files.newInputStream(ResourceUtils.getFile(keyStorePath).toPath()), keyStorePwd.toCharArray());

这里应该使用独立的信任库配置路径，而非直接使用密钥库的路径。

2. SSL协议版本拼写错误 #

初始化SSLContext时使用了完全错误的协议名称：

SSLContext sslContext = SSLContext.getInstance("TL_SV_1");

正确的协议名称应为TLSv1.2（推荐使用）、TLSv1.3或通用的TLS，拼写错误会导致SSL上下文初始化异常，进而无法正常向服务端发送客户端证书。

3. 异常处理不严谨 #

加载密钥库/信任库时发生异常仅打印日志，但代码仍继续执行，后续流程会使用未正确初始化的KeyStore/TrustStore，最终无法提供有效的客户端证书。

4. HttpClient连接管理器未生效 #

创建HttpClient时，已初始化的PoolingHttpClientConnectionManager未被配置到客户端实例中，虽不是SSL证书错误的直接原因，但会导致连接池配置失效，影响请求稳定性。

解决办法 #

1. 修正信任库加载路径 #

确保信任库使用独立的配置参数，修改代码如下：

// 假设配置中存在trustStorePath和trustStorePwd参数
trustStore.load(Files.newInputStream(ResourceUtils.getFile(trustStorePath).toPath()), trustStorePwd.toCharArray());

2. 修正SSL协议版本 #

使用标准的SSL协议名称，推荐使用TLS 1.2及以上版本：

SSLContext sslContext = SSLContext.getInstance("TLSv1.2");

3. 强化异常处理 #

加载密钥库/信任库失败时直接抛出异常，终止后续无效流程：

try {
    keyStore.load(Files.newInputStream(ResourceUtils.getFile(keyStorePath).toPath()), keyStorePwd.toCharArray());
    trustStore.load(Files.newInputStream(ResourceUtils.getFile(trustStorePath).toPath()), trustStorePwd.toCharArray());
} catch (Exception e) {
    error("Exception while creating fsv rest template","FF10",e,null);
    throw new RuntimeException("Failed to load keystore/truststore", e); // 抛出异常终止流程
}

4. 配置HttpClient连接管理器 #

将初始化的连接管理器绑定到HttpClient实例：

private HttpClient getHttpClient(SSLSocketFactory sslContext) {
    PoolingHttpClientConnectionManager poolingHttpClientConnectionManager = new PoolingHttpClientConnectionManager(
            connTtl, TimeUnit.MILLISECONDS);

    poolingHttpClientConnectionManager.setMaxTotal(connPoolMaxSize);
    poolingHttpClientConnectionManager.setDefaultMaxPerRoute(connPoolMaxRouteSize);
    poolingHttpClientConnectionManager.setValidateAfterInactivity(connPoolInvalidateThreshold);
    
    SSLConnectionSocketFactory csf = new SSLConnectionSocketFactory(sslContext, NoopHostnameVerifier.INSTANCE);
    CloseableHttpClient httpClient = HttpClients.custom()
            .setSSLSocketFactory(csf)
            .setConnectionManager(poolingHttpClientConnectionManager) // 添加连接管理器配置
            .build();
    return httpClient;
}

额外验证点 #

• 确认密钥库（KeyStore）中包含有效的客户端证书，且证书未过期、与服务端要求的证书格式匹配。
• 确认密钥库和信任库的密码配置与文件实际密码完全一致。
• 若服务端要求特定证书别名，需在KeyManagerFactory初始化时指定对应别名（未指定时默认使用第一个可用证书）。

内容的提问来源于stack exchange，提问作者Abhishek Dwivedi