如何获取加载JDK内置信任材料的TrustManager实例（兼容JDK8及以上）

我需要获取一个加载JDK内置信任材料的TrustManager实例（即JDK高版本中存储在lib/security/cacerts文件中的材料），理想方案需兼容JDK8及以上版本。

这个看似简单的需求实际操作起来却很复杂，我怀疑自己的思路是否正确，目前遇到的问题如下：

• 需要的是内置信任材料，不受用户在JRE执行时添加的系统属性影响。
• 不同JDK版本中cacerts文件的位置是否发生了变化？
• 不同JDK版本中cacerts文件的存储类型是否发生了变化？
• 不同JDK版本中cacerts文件的密码是否发生了变化？

我不想处理不同JDK版本间的这些差异，认为这并非必要，想知道是否已有现成解决方案或JDK提供了我忽略的方法？

解决方案：无需手动适配版本差异 #

JDK本身提供了可兼容多版本的内置信任库加载方式，无需硬编码路径、存储类型或密码，同时能规避运行时系统属性的干扰。

核心实现代码

import javax.net.ssl.TrustManagerFactory;
import javax.net.ssl.X509TrustManager;
import java.io.FileInputStream;
import java.io.InputStream;
import java.security.KeyStore;

public class BuiltInTrustManagerLoader {
    public static X509TrustManager getBuiltInTrustManager() throws Exception {
        // 获取JDK内置cacerts的标准路径，JDK8到21均一致
        String cacertsPath = System.getProperty("java.home") + "/lib/security/cacerts";
        // 自动适配各版本默认密钥库类型（JDK8为JKS，JDK9+为PKCS12）
        String keyStoreType = KeyStore.getDefaultType();
        // 各JDK版本cacerts默认密码统一为changeit
        String defaultPassword = "changeit";

        // 加载内置信任库
        KeyStore keyStore = KeyStore.getInstance(keyStoreType);
        try (InputStream is = new FileInputStream(cacertsPath)) {
            keyStore.load(is, defaultPassword.toCharArray());
        }

        // 初始化TrustManagerFactory并获取实例
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(keyStore);

        // 筛选出X509TrustManager
        for (javax.net.ssl.TrustManager tm : tmf.getTrustManagers()) {
            if (tm instanceof X509TrustManager) {
                return (X509TrustManager) tm;
            }
        }
        throw new IllegalStateException("未从内置cacerts中找到X509TrustManager");
    }
}

关键细节说明

1. 路径兼容性：从JDK8到JDK21，java.home下的lib/security/cacerts路径始终保持一致，即使JDK9+启用模块化后，该路径仍指向内置信任库文件。
2. 存储类型适配：通过KeyStore.getDefaultType()自动获取当前JDK的默认密钥库类型，无需手动区分JKS或PKCS12。
3. 默认密码：所有官方JDK版本的cacerts默认密码均为changeit，符合"内置信任材料"的需求（若用户手动修改过密码，该场景不在需求范围内）。
4. 规避系统属性影响：直接读取java.home下的原始cacerts文件，不受javax.net.ssl.trustStore等运行时系统属性的干扰，确保加载的是JDK原生信任材料。

内容的提问来源于stack exchange，提问作者peterh