Spring WebClient调用自签名P12证书HTTPS接口失败问题解决

你的解决步骤完全符合自签名证书在微服务间HTTPS调用场景下的安全规范，下面拆解每一步的合理性：

• 从P12证书导出公钥crt文件
  PKCS12格式的证书容器同时包含私钥和公钥证书，导出公钥CRT文件是将服务B的身份凭证安全提供给服务A的标准方式。SSL/TLS信任模型中，调用方（服务A）只需要持有被调用方（服务B）的公钥证书来验证身份，不需要接触私钥，这完全符合密钥安全管理的规范。

• 确保证书主机名为localhost
  HTTPS握手时会强制校验证书的Subject Alternative Name（SAN）或Common Name（CN）与请求的主机名是否一致，这是防止中间人攻击的核心校验环节。如果证书主机名和调用时使用的localhost不匹配，必然触发握手失败，所以确保两者一致是符合HTTPS规范的必要操作。

• 修正WebClient的SslContext配置，使用公钥证书作为信任管理器
  Spring WebFlux的WebClient基于Reactor Netty，默认会使用系统默认信任库（如JDK的cacerts），而自签名证书不在这个默认信任库中，因此会出现PKIX路径构建失败的异常。通过自定义SslContext，将服务B的公钥证书加入信任管理器，相当于明确告知服务A“信任这个证书对应的服务”，这是自签名证书场景下的标准配置方式——和RestTemplate的信任配置逻辑本质一致，只是WebClient需要适配Netty的SslContextBuilder来实现，完全符合框架规范。

补充说明：如果是生产环境，建议使用受信任CA签发的证书以避免手动配置信任的操作，但在开发/测试环境，使用自签名证书并通过上述方式配置是合规且高效的方案。

内容的提问来源于stack exchange，提问作者soumitra goswami