Azure Device Client SDK连接IoTHub失败：证书链无效问题求助

使用Azure IoT Device Client Java库（2.5.0版本）连接IoT Hub，已通过DPS注册X509证书并持有对应私钥。真实设备可正常连接，但在IoT设备模拟器中调用securityProvider.getSSLContext()时抛出错误：

Caused by: java.security.KeyStoreException: Certificate chain is not valid

连接代码如下：

SecurityProvider securityProvider = new SecurityProviderX509Cert(clientCertificate, privateKey, Collections.singleton(ioTHubCaCertificate));
DeviceClient deviceClient = new DeviceClient("enox-iot-dev.azure-devices.net", deviceId, securityProvider, IotHubClientProtocol.MQTT);
deviceClient.open(true);

其中ioTHubCaCertificate使用的是Digicert根证书内容。

• 确保设备证书链完整：真实设备可能已预装完整证书链（设备证书→中间CA证书→根CA证书），但模拟器中仅传入单个设备证书会导致链不完整。需要将设备证书、所有中间CA证书按顺序拼接成一个PEM格式文件（设备证书在前，后续依次是签署它的中间证书），再传入clientCertificate参数。
• 验证证书与私钥匹配：用OpenSSL命令确认私钥和设备证书对应：

  # 提取证书公钥哈希
  openssl x509 -noout -modulus -in device-cert.pem | openssl md5
  # 提取私钥公钥哈希
  openssl rsa -noout -modulus -in private-key.pem | openssl md5
  

  两个哈希值必须完全一致，否则说明私钥与证书不匹配。
• 检查CA证书格式与有效性：确认ioTHubCaCertificate是完整的PEM格式（包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----标记），且是能验证设备证书链的根CA证书，无多余字符或换行错误。
• 启用SSL调试日志定位问题：添加系统属性开启SSL握手调试，获取更详细的错误信息：

  System.setProperty("javax.net.debug", "ssl,handshake");
  

  日志会显示证书链验证过程中具体失败的环节，比如某级证书不被信任或链中断。
• 检查SDK版本兼容性：2.5.0版本的SDK可能存在X509证书处理的已知问题，尝试升级到较新的稳定版本（如最新的2.x版本），看是否能解决该异常。

内容的提问来源于stack exchange，提问作者Simon