OpenLiberty配置自定义密钥库实现双向TLS连接失败排查

问题核心 #

你已配置针对apple-pay-gateway-cert.apple.com的出站SSL配置集，但JDK 11+的HttpClient默认不会自动集成OpenLiberty的SSL配置体系，导致连接时仍使用默认SSL上下文，无法提供客户端证书，最终触发SSL握手失败（表现为java.io.IOException: HTTP/1.1 header parser received no bytes）。

解决方案 #

需要手动从OpenLiberty获取指定的SSL上下文，并将其注入到JDK HttpClient中，步骤如下：

1. 确认Liberty特性配置 #

你的webProfile-8.0已包含ssl-1.0特性，无需额外添加，若需明确声明可修改为：

<featureManager>
    <feature>webProfile-8.0</feature>
    <feature>ssl-1.0</feature> <!-- 可选，webProfile已默认包含 -->
</featureManager>

2. 通过Liberty API获取目标SSL上下文 #

使用OpenLiberty的SSLConfigManager API获取配置中id="applePaySSL"的SSL上下文，需确保项目引入Liberty的SSL API依赖：

import com.ibm.ws.ssl.config.SSLConfigManager;
import com.ibm.wsspi.ssl.SSLConfiguration;
import javax.net.ssl.SSLContext;

// 获取指定ID的SSL配置
SSLConfiguration sslConfig = SSLConfigManager.getInstance().getSSLConfiguration("applePaySSL");
// 构建对应SSLContext
SSLContext sslContext = sslConfig.createSSLContext();

3. 修改HttpClient代码关联SSL上下文 #

将原HttpClient构建逻辑替换为使用上述获取的SSLContext：

HttpRequest request = HttpRequest.newBuilder().uri(validationEndpoint)
    .header("Content-Type", "application/json")
    .POST(BodyPublishers.ofString(jsonRequest))
    .build();

// 用Liberty提供的SSLContext构建HttpClient
HttpClient client = HttpClient.newBuilder()
    .sslContext(sslContext)
    // 可选：直接复用Liberty配置中的SSL参数
    .sslParameters(sslConfig.getSSLParameters())
    .build();

return client.send(request, BodyHandlers.ofString()).body();

关键补充说明 #

• OpenLiberty的出站SSL自动匹配仅对Liberty原生客户端组件生效（如HttpUrlConnection、Liberty REST Client等），JDK自带HttpClient属于独立组件，无法自动感知Liberty的SSL配置。
• 你的server.xml配置本身无问题（密钥库、出站主机映射已正确加载），问题根源是客户端代码未关联Liberty的SSL上下文。
• 若切换使用Liberty的restClient-2.0特性，可自动复用出站SSL配置，无需手动处理SSLContext，示例代码：

import jakarta.ws.rs.client.Client;
import jakarta.ws.rs.client.ClientBuilder;
import jakarta.ws.rs.client.Entity;
import jakarta.ws.rs.core.MediaType;

Client client = ClientBuilder.newClient();
String response = client.target(validationEndpoint)
    .request(MediaType.APPLICATION_JSON)
    .post(Entity.entity(jsonRequest, MediaType.APPLICATION_JSON), String.class);

内容的提问来源于stack exchange，提问作者Doug Breaux