Spring Boot调用需证书的外部API遇X.509认证错误排查

针对你遇到的SSL认证错误，结合日志信息和配置情况，从以下几个方向排查问题：

1. 密钥库生成或加载问题（对应"No X.509 certificate for client authentication"） #

• 检查密钥库有效性：用keytool命令确认cert.jks中是否包含客户端证书和私钥：

  keytool -list -v -keystore src/main/resources/keystore/cert.jks
  

  如果输出中没有显示带PrivateKeyEntry的条目，说明生成jks时步骤有误。重新生成的正确流程：
  1. 先将crt和key合并为PKCS12文件：

     openssl pkcs12 -export -in your-client.crt -inkey your-client.key -out client.p12 -name "client-cert"
     

  2. 转换为JKS格式：

     keytool -importkeystore -srckeystore client.p12 -srcstoretype PKCS12 -destkeystore cert.jks -deststoretype JKS
     

• 配置路径与密码校验：
  • 确认application.yml中密钥库路径是否为classpath:keystore/cert.jks，避免拼写错误；
  • 密钥库密码、密钥密码必须和生成jks时设置的一致，密码错误会导致证书无法加载。

2. SSLContext配置缺失客户端证书支持 #

检查你的RestTemplate配置代码，确保正确加载密钥库并初始化KeyManager：

@Bean
public RestTemplate sslRestTemplate(@Value("${ssl.keystore.path}") String keystorePath,
                                   @Value("${ssl.keystore.password}") String keystorePass,
                                   @Value("${ssl.keystore.key-password}") String keyPass) throws Exception {
    // 加载密钥库
    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
    Resource keystoreResource = new ClassPathResource(keystorePath);
    try (InputStream is = keystoreResource.getInputStream()) {
        keyStore.load(is, keystorePass.toCharArray());
    }

    // 初始化KeyManagerFactory
    KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
    kmf.init(keyStore, keyPass.toCharArray());

    // 构建支持客户端认证的SSLContext
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(kmf.getKeyManagers(), null, new SecureRandom());

    // 配置HttpClient并创建RestTemplate
    HttpClient httpClient = HttpClientBuilder.create()
            .setSSLContext(sslContext)
            .build();
    HttpComponentsClientHttpRequestFactory requestFactory = new HttpComponentsClientHttpRequestFactory(httpClient);
    return new RestTemplate(requestFactory);
}

如果你的配置中跳过了KeyManager的初始化，或者只配置了信任库而没有密钥库，就会出现无客户端证书的错误。

3. 算法兼容性问题（对应"Unsupported authentication scheme: dsa_sha256"） #

• DSA算法支持性：DSA算法现在已被大部分环境弃用，Java默认的TLS配置可能禁用了该算法。如果服务器允许，优先更换为RSA类型的证书；
• 强制启用DSA（仅当必须使用时）：
  1. 检查JRE的jre/lib/security/java.security文件，确保jdk.tls.disabledAlgorithms中没有包含DSA；
  2. 在创建SSLContext时指定兼容的协议，比如SSLContext.getInstance("TLSv1.2")（部分旧协议对DSA支持更好）。

内容的提问来源于stack exchange，提问作者Cody