远程服务器Firebase推送通知失败：cacerts相关SSL异常求助

问题本质 #

全局设置javax.net.ssl.keyStore会覆盖JVM默认的信任库（cacerts），Firebase Admin SDK获取服务账号令牌时需要访问Google OAuth API，依赖默认信任库中的根证书验证服务器身份。自定义keystore通常缺少这些根证书，或密钥库类型/算法不匹配，导致SSLContext构造失败，触发NoSuchAlgorithmException。

具体解决方法 #

1. 合并默认信任库证书到自定义keystore #

将JVM默认cacerts中的所有根证书导入自定义keystore，确保Firebase能验证Google API的SSL证书：

# 导出默认cacerts中的所有证书到临时目录（默认密码changeit）
keytool -list -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit | awk -F',' '{print $1}' | grep -v "Keystore type" | while read alias; do
  keytool -export -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit -alias $alias -file /tmp/$alias.crt
done

# 将导出的证书导入自定义keystore
for file in /tmp/*.crt; do
  keytool -import -keystore your-custom-keystore.jks -storepass your-keystore-password -alias $(basename $file .crt) -file $file -noprompt
done

2. 避免全局覆盖keystore，仅给特定组件配置 #

不要在Docker启动命令中全局设置javax.net.ssl.keyStore，而是在代码中为需要自定义证书的加密功能单独配置SSL上下文：

// 加载自定义keystore
KeyStore keyStore = KeyStore.getInstance("JKS");
try (InputStream is = new FileInputStream("your-custom-keystore.jks")) {
    keyStore.load(is, "your-keystore-password".toCharArray());
}

// 构建专属SSL上下文
SSLContext sslContext = SSLContexts.custom()
        .loadKeyMaterial(keyStore, "your-keystore-password".toCharArray())
        .build();

// 将此上下文用于需要自定义证书的组件（比如特定RestTemplate）
HttpClient httpClient = HttpClientBuilder.create().setSSLContext(sslContext).build();
RestTemplate customRestTemplate = new RestTemplate(new HttpComponentsClientHttpRequestFactory(httpClient));

这样Firebase SDK会继续使用JVM默认信任库，不受影响。

3. 修正keystore类型配置 #

如果必须全局设置keystore，确保指定正确的密钥库类型（比如PKCS12），避免算法不匹配：

# Docker启动命令添加keyStoreType参数
java -Djavax.net.ssl.keyStore=your-keystore.p12 \
     -Djavax.net.ssl.keyStorePassword=your-password \
     -Djavax.net.ssl.keyStoreType=PKCS12 \
     -jar your-springboot-app.jar

同时手动导入Google API所需的根证书（比如GlobalSign Root CA）到自定义keystore：

keytool -importcert -alias globalsign-root -file globalsign-root.crt -keystore your-keystore.jks -storepass your-password -noprompt

4. 为Firebase SDK单独配置SSL上下文 #

若全局keystore无法避免，手动为Firebase SDK指定包含必要证书的SSL上下文：

// 加载自定义信任库
KeyStore trustStore = KeyStore.getInstance("JKS");
try (InputStream is = new FileInputStream("your-custom-keystore.jks")) {
    trustStore.load(is, "your-keystore-password".toCharArray());
}

// 初始化信任管理器
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(trustStore);

// 构建SSL上下文
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, tmf.getTrustManagers(), null);

// 配置Firebase使用该上下文
HttpTransport httpTransport = new NetHttpTransport.Builder().setSslSocketFactory(sslContext.getSocketFactory()).build();
FirebaseOptions options = FirebaseOptions.builder()
        .setCredentials(GoogleCredentials.fromStream(new FileInputStream("service-account.json")))
        .setHttpTransport(httpTransport)
        .build();
FirebaseApp.initializeApp(options);

内容的提问来源于stack exchange，提问作者Sufiyan Salman