Ktor自签名证书失效：javax.net.ssl.SSLHandshakeException错误求助

问题场景 #

在Debian系统中按照Ktor官方文档生成自签名证书，执行命令：
keytool -keystore keystore.jks -alias sampleAlias -genkeypair -keyalg RSA -keysize 4096 -validity 3 -dname 'CN=localhost, OU=ktor, O=ktor, L=Unspecified, ST=Unspecified, C=US'

完成application.conf配置：

port = 3000
    sslPort = 8443
    host = "localhost"
}
ktor {
    security {
        ssl {
            keyStore = keystore.jks
            keyAlias = sampleAlias
            keyStorePassword = changeit
            privateKeyPassword = changeit
        }
    }
}```

确认配置正确（修改配置项会导致应用无法启动），但通过浏览器访问`https://localhost:8443`时出现TLS握手失败，报错：
```2024-05-20 23:22:53.899 [eventLoopGroupProxy-3-1] WARN  i.n.h.s.ApplicationProtocolNegotiationHandler - [id: 0xf6ca4b24, L:/127.0.0.1:8443 ! R:/127.0.0.1:33328] TLS handshake failed:
javax.net.ssl.SSLHandshakeException: Received fatal alert: certificate_unknown
    ...```

尝试将证书导出并添加到系统主cacerts存储、使用sudo运行IntelliJ及相关命令均未解决问题。

---

## 有效解决方案

### 1. 将证书导入浏览器专属信任库
浏览器有独立的证书信任体系，系统级cacerts修改不会直接生效。手动把证书添加到浏览器的受信任根证书列表：
- 先导出证书文件：
  ```keytool -export -keystore keystore.jks -alias sampleAlias -file localhost.cer```
- 打开浏览器设置：
  - Chrome：设置 → 隐私和安全 → 安全 → 管理证书 → 导入`localhost.cer`到「受信任的根证书颁发机构」
  - Firefox：设置 → 隐私与安全 → 证书 → 查看证书 → 导入`localhost.cer`并勾选「信任由此证书颁发的证书」

### 2. 确保Ktor正确加载证书库
检查`keystore.jks`的路径是否正确：
- 可以在application.conf中指定绝对路径测试，避免工作目录问题：
  ```ssl {
      keyStore = "/home/your-username/your-project/keystore.jks"
      keyAlias = sampleAlias
      keyStorePassword = changeit
      privateKeyPassword = changeit
  }```

### 3. 验证证书CN与访问域名一致
用keytool确认证书的所有者信息：
```keytool -list -v -keystore keystore.jks -alias sampleAlias```
查看输出中的「所有者」字段是否为`CN=localhost`，访问时必须用`localhost`而非`127.0.0.1`（两者CN不匹配会触发证书未知错误）

### 4. 清除浏览器SSL缓存
浏览器可能缓存了旧的无效证书状态，清除后重试：
- Chrome：设置 → 隐私和安全 → 清除浏览数据 → 高级 → 勾选「SSL证书缓存」并清除
- Firefox：设置 → 隐私与安全 → 清除数据 → 勾选「缓存的Web内容」并清除

---

内容的提问来源于stack exchange，提问作者Vojin Purić