在http4k中配置Helidon WebServer双向SSL遇错求助

你的核心问题是错误地将私钥密钥库标记为信任库，导致Helidon无法从中加载服务器私钥，最终使用DummyKeyManager替代，引发SSL连接失败。以下是具体的修正方案：

问题根源 #

你在配置KeystoreKeys时设置了.trustStore(true)，这个参数会让Helidon仅将该keystore当作信任库（用于验证客户端证书），而不会从中加载服务器的私钥和证书链。没有可用的私钥，Helidon就会使用DummyKeyManager，自然无法完成正常的SSL握手。

修正后的完整代码 #

class HelidonSsl(val port: Int = 8305) : ServerConfig {
    override val stopMode = ServerConfig.StopMode.Immediate

    override fun toServer(http: HttpHandler): Http4kServer {
        val keystorePath = "keystore/ssl.keystore"
        val keystorePassword = "changeit"

        // 1. 配置服务器私钥密钥库（用于服务器身份认证，不要设置trustStore(true)）
        val serverKeyStore = KeystoreKeys.builder()
            .keystore(Resource.create(keystorePath))
            .passphrase(keystorePassword)
            .build()

        val privateKey = Keys.builder()
            .keystore(serverKeyStore)
            .build()

        // 2. 配置信任库（用于验证客户端证书，可复用同一个keystore或单独使用truststore文件）
        val trustStore = KeystoreKeys.builder()
            .keystore(Resource.create(keystorePath))
            .passphrase(keystorePassword)
            .trustStore(true)
            .build()

        val trustedKey = Keys.builder()
            .keystore(trustStore)
            .build()

        // 3. 正确配置双向SSL
        val tlsConfig = TlsConfig.builder()
            .privateKey(privateKey)
            .trustKey(trustedKey)
            // 根据业务需求设置客户端认证级别，REQUIRED强制验证，OPTIONAL可选
            .clientAuth(TlsClientAuth.REQUIRED)
            // 关闭trustAll，否则会跳过客户端证书验证，失去双向SSL的安全意义
            .trustAll(false)
            .build()

        // 4. 绑定http4k请求处理器到Helidon服务器
        val server = WebServer.builder()
            .tls(tlsConfig)
            .port(port)
            .addRouting(Http4kHelidonAdapter(http))
            .build()

        return object : Http4kServer {
            override fun start() = apply { server.start() }
            override fun stop() = apply { server.stop() }
            override fun port(): Int = if (port != 0) port else server.port()
        }
    }
}

关键修改点说明 #

1. 拆分私钥与信任库配置

   • 私钥密钥库不设置.trustStore(true)，确保Helidon从中加载服务器私钥和证书链。
   • 信任库单独配置并标记.trustStore(true)，用于验证客户端提交的证书。

2. 关闭trustAll(true)
   该参数会让服务器跳过所有客户端证书验证，完全违背双向SSL的设计初衷，必须关闭。

3. 绑定http4k请求处理器
   原代码遗漏了Http4kHelidonAdapter(http)的绑定，导致服务器无法处理http4k的请求，必须补上。

后续验证步骤 #

• 检查密钥库是否包含私钥：执行命令keytool -list -v -keystore keystore/ssl.keystore，确认输出中存在Entry type: PrivateKeyEntry条目。
• 确保客户端证书已被服务器信任：如果使用自签名客户端证书，需将其导入到服务器的信任库中（或复用同一个keystore）。
• 调试SSL握手：添加JVM参数-Djavax.net.debug=ssl，查看SSL握手的详细日志，定位潜在的证书信任问题。

内容的提问来源于stack exchange，提问作者ICC