Spring Boot使用PEM文件作为信任库启动失败问题排查

核心问题 #

Spring Boot的server.ssl.trust-store配置项默认仅支持JKS、PKCS12等标准密钥库格式，直接使用单个PEM格式的证书文件，Spring Boot无法识别并加载它作为信任库。

另外注意到异常信息中引用的是mycertificate.pem，但你的配置文件和实际文件名为mycertfile.pem，如果是拼写错误也需要同步修正。

解决步骤 #

1. 将PEM证书转换为标准密钥库格式（以PKCS12为例） #

使用OpenSSL命令把PEM证书导入到PKCS12格式的密钥库中：

openssl pkcs12 -export -nokeys -in mycertfile.pem -out truststore.p12 -name "my-trust-cert"

执行命令时会要求设置密钥库密码，请妥善记录该密码，后续配置需要用到。

2. 修改Spring Boot配置 #

将生成的truststore.p12放入resources目录，更新application.yaml配置：

server:
  ssl:
    trust-store: "classpath:truststore.p12"
    trust-store-type: PKCS12
    trust-store-password: 你设置的密钥库密码

3. （可选）通过代码直接加载PEM证书 #

如果不想转换密钥库格式，可以通过自定义SSL上下文的方式直接加载PEM证书：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.io.ClassPathResource;
import org.springframework.http.client.reactive.ClientHttpConnector;
import org.springframework.http.client.reactive.ReactorClientHttpConnector;
import reactor.netty.http.client.HttpClient;
import reactor.netty.tls.SslContextBuilder;

import java.io.InputStream;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

@Configuration
public class SslConfig {

    @Bean
    public ClientHttpConnector clientHttpConnector() throws Exception {
        CertificateFactory cf = CertificateFactory.getInstance("X.509");
        InputStream certInputStream = new ClassPathResource("mycertfile.pem").getInputStream();
        X509Certificate cert = (X509Certificate) cf.generateCertificate(certInputStream);

        HttpClient httpClient = HttpClient.create()
                .secure(sslContextSpec -> sslContextSpec
                        .sslContext(SslContextBuilder.forClient()
                                .trustManager(cert)));
        return new ReactorClientHttpConnector(httpClient);
    }
}

内容的提问来源于stack exchange，提问作者ka3ak