Apache HttpClient 4.5 SSL连接重置问题排查求助

1. 检查TLS协议版本支持 #

Java 17内置HttpClient默认支持的TLS版本（如TLS 1.3）可能比Apache HttpClient 4.5的默认配置更全面。Apache HttpClient 4.5默认仅启用TLS 1.0/1.1/1.2，若目标端点要求TLS 1.3或禁用了旧版本协议，就会触发连接重置。

配置示例：

SSLContext sslContext = SSLContexts.custom()
        .loadTrustMaterial(trustStore, null)
        .loadKeyMaterial(keyStore, keyPassword.toCharArray())
        .build();

SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(
        sslContext,
        new String[]{"TLSv1.2", "TLSv1.3"}, // 指定与目标端点兼容的协议版本
        null,
        SSLConnectionSocketFactory.getDefaultHostnameVerifier());

CloseableHttpClient httpClient = HttpClients.custom()
        .setSSLSocketFactory(sslSocketFactory)
        .build();

2. 对齐密码套件配置 #

目标端点可能仅支持特定密码套件，Apache HttpClient 4.5的默认套件集合和Java 17内置客户端存在差异。可以先通过SSLContext.getDefault().createSSLEngine().getEnabledCipherSuites()获取Java 17默认启用的套件，再在Apache HttpClient中显式配置：

String[] java17CompatibleCiphers = new String[]{
        "TLS_AES_256_GCM_SHA384",
        "TLS_CHACHA20_POLY1305_SHA256",
        "TLS_AES_128_GCM_SHA256",
        // 补充其他Java 17默认启用的套件
};

SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(
        sslContext,
        supportedProtocols,
        java17CompatibleCiphers,
        SSLConnectionSocketFactory.getDefaultHostnameVerifier());

3. 确认密钥库/信任库加载逻辑 #

确保Apache HttpClient的SSLContext加载密钥库、信任库的逻辑和Java 17完全一致，包括文件路径、密码、存储类型（JKS/PKCS12）：

// 密钥库加载示例（注意类型要和Java 17使用的匹配）
KeyStore keyStore = KeyStore.getInstance("PKCS12");
try (InputStream is = new FileInputStream("path/to/keystore.p12")) {
    keyStore.load(is, keyPassword.toCharArray());
}

// 信任库加载同理
KeyStore trustStore = KeyStore.getInstance("JKS");
try (InputStream is = new FileInputStream("path/to/truststore.jks")) {
    trustStore.load(is, trustPassword.toCharArray());
}

4. 调整超时参数 #

Apache HttpClient的默认超时设置可能过短，导致握手阶段未完成就被断开。可以调整相关超时：

RequestConfig requestConfig = RequestConfig.custom()
        .setConnectTimeout(5000) // 连接超时（毫秒）
        .setSocketTimeout(10000) // 套接字超时（毫秒）
        .setConnectionRequestTimeout(5000)
        .build();

CloseableHttpClient httpClient = HttpClients.custom()
        .setDefaultRequestConfig(requestConfig)
        .setSSLSocketFactory(sslSocketFactory)
        .build();

5. 禁用SSL会话复用 #

部分端点对SSL会话复用的处理存在兼容性问题，Java 17内置客户端的处理逻辑可能不同。可以尝试在Apache HttpClient中禁用会话复用：

SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(
        sslContext,
        supportedProtocols,
        java17CompatibleCiphers,
        SSLConnectionSocketFactory.getDefaultHostnameVerifier()) {
    @Override
    protected void prepareSocket(SSLSocket socket) throws IOException {
        socket.setEnableSessionCreation(false); // 禁用会话复用
        super.prepareSocket(socket);
    }
};

6. 启用SSL调试日志定位差异 #

添加JVM启动参数启用SSL详细日志，对比Apache HttpClient和Java 17客户端的握手流程，找出具体差异：

-Djavax.net.debug=ssl:handshake:verbose

通过日志对比两者的协议协商、密码套件选择、证书交换等步骤，快速定位问题根源。

内容的提问来源于stack exchange，提问作者quantumferret