OpenJDK11下TLS1.3握手报错Incorrect inner plaintext排查求助

遇到过的类似场景 #

这种在老旧/低性能CPU机器上运行数小时后出现的javax.net.ssl.SSLHandshakeException: Incorrect inner plaintext: no content type报错，在OpenJDK 11早期版本（如11.0.7）的TLS1.3场景中并不罕见，核心诱因基本都是JDK的TLS1.3 GCM加密硬件加速与老旧CPU指令集的兼容性问题。

排查与解决方向 #

• 禁用加密硬件加速
  老旧CPU可能不支持或不完全支持AES-NI指令集，JDK的硬件加速自动检测逻辑可能误判并强制使用硬件加密，最终导致GCM解密时出现padding错误。可通过JVM参数强制切换为软件加密实现：

  -Dsun.security.aes.disableNative=true
  

  也可以修改$JAVA_HOME/conf/security/java.security配置文件，添加或更新该参数。

• 升级OpenJDK版本
  OpenJDK 11.0.7属于较早的LTS版本，后续发布的11.0.21及更高补丁版本修复了大量TLS1.3和加密组件的兼容性bug，升级到最新的11系列LTS版本大概率能彻底解决该问题。

• 临时切换TLS版本验证根源
  如果业务允许，可先通过JVM参数强制客户端使用TLS1.2协议，验证故障是否消失，以此确认问题确实出在TLS1.3的实现层面：

  -Djdk.tls.client.protocols=TLSv1.2
  

• 检查系统与CPU适配性

  1. 执行cat /proc/cpuinfo查看CPU是否支持aes指令集，若不支持，JDK的硬件加速适配逻辑极易出错；
  2. 升级openSUSE 15.2系统的openssl、nss等加密相关库，确保系统层加密组件与JDK版本匹配。

• 排查TLS会话缓存异常
  故障在运行数小时后出现，可能和TLS会话缓存的状态错乱有关。可尝试禁用会话缓存，添加以下JVM参数测试：

  -Djdk.tls.sessionCacheSize=0
  

内容的提问来源于stack exchange，提问作者winmor