Spring Boot 2.1.x 出站连接无法使用TLS 1.3对接API求助

核心问题分析 #

你的代码在独立Java程序中正常，但移植到Spring Boot后发送ClientHello时使用TLSv1.2，导致握手失败，原因通常是Spring Boot的自动配置、全局SSL上下文覆盖，或者未显式强制指定协议版本。

解决方案 #

1. 显式为HttpClient配置SSLParameters强制TLSv1.3 #

仅设置SSLContext可能不够，需要同时指定SSLParameters限制协议版本：

import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLParameters;
import java.net.URI;
import java.net.http.HttpClient;
import java.net.http.HttpRequest;
import java.net.http.HttpResponse;

public class Main {
    public static void main(String[] args) {
        String apiUrl = "https://api-url.com";

        try {
            // 创建TLSv1.3的SSLContext
            SSLContext sslContext = SSLContext.getInstance("TLSv1.3");
            sslContext.init(null, null, null);

            // 强制指定协议为TLSv1.3
            SSLParameters sslParams = new SSLParameters();
            sslParams.setProtocols(new String[]{"TLSv1.3"});

            // 构建HttpClient并传入SSL参数
            HttpClient httpClient = HttpClient.newBuilder()
                    .version(HttpClient.Version.HTTP_2)
                    .sslContext(sslContext)
                    .sslParameters(sslParams) // 关键：添加这一行
                    .build();

            HttpRequest request = HttpRequest.newBuilder()
                    .uri(URI.create(apiUrl))
                    .GET()
                    .header("Accept", "application/json")
                    .build();

            HttpResponse<String> response = httpClient.send(request, HttpResponse.BodyHandlers.ofString());

            if (response.statusCode() == 200) {
                System.out.println("Response Body: " + response.body());
            } else {
                System.out.println("Request failed. Status code: " + response.statusCode());
            }
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

2. 自定义HttpClient Bean避免Spring Boot自动配置干扰 #

在Spring Boot中，建议通过配置类定义全局的HttpClient Bean，确保配置不被覆盖：

import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLParameters;
import java.net.http.HttpClient;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class HttpClientConfig {

    @Bean
    public HttpClient tls13HttpClient() throws Exception {
        SSLContext sslContext = SSLContext.getInstance("TLSv1.3");
        sslContext.init(null, null, null);

        SSLParameters sslParams = new SSLParameters();
        sslParams.setProtocols(new String[]{"TLSv1.3"});

        return HttpClient.newBuilder()
                .version(HttpClient.Version.HTTP_2)
                .sslContext(sslContext)
                .sslParameters(sslParams)
                .build();
    }
}

使用时直接注入该Bean即可：

@Autowired
private HttpClient tls13HttpClient;

// 后续使用该client发送请求

3. 验证JVM系统参数是否被覆盖 #

检查Spring Boot启动时是否有参数覆盖了协议设置，可在代码中打印系统属性确认：

System.out.println("jdk.tls.client.protocols: " + System.getProperty("jdk.tls.client.protocols"));
System.out.println("https.protocols: " + System.getProperty("https.protocols"));

如果输出不是TLSv1.3，需在启动参数中添加：

-Djdk.tls.client.protocols=TLSv1.3 -Dhttps.protocols=TLSv1.3

4. 排查全局SSLContext被修改的情况 #

某些第三方库（如安全框架、监控工具）可能会替换默认SSLContext，可打印默认上下文协议确认：

System.out.println("Default SSLContext protocol: " + SSLContext.getDefault().getProtocol());

如果默认协议不是TLSv1.3，需排查依赖库并调整配置，避免全局覆盖。

内容的提问来源于stack exchange，提问作者Brad Gardner