ColdFusion 2018调用HTTPS服务时PKIX证书路径构建失败求助

错误原因 #

该错误是由于ColdFusion依赖的JVM信任库中未包含目标HTTPS服务的根证书或中间证书，导致JVM无法验证服务端证书的合法性，进而终止HTTPS连接。

解决方案（生产环境推荐） #

针对ColdFusion 2018（JDK 11）+ UNIX系统环境，按以下步骤操作：

1. 导出目标HTTPS服务的证书链 #

使用openssl命令获取服务端完整证书链并保存到本地：

openssl s_client -connect 目标域名:443 -showcerts < /dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > target-cert.crt

将命令中的目标域名替换为实际要调用的HTTPS服务域名。

2. 将证书导入ColdFusion的JVM信任库 #

• 定位ColdFusion使用的JVM信任库路径，通常为：<ColdFusion安装目录>/jre/lib/security/cacerts
• 使用keytool命令导入证书：

keytool -importcert -file target-cert.crt -alias 自定义证书别名 -keystore /path/to/cacerts

• 信任库默认密码为changeit，若已修改则使用对应密码
• 命令执行后会提示是否信任该证书，输入yes确认

3. 重启ColdFusion服务 #

执行UNIX系统下的ColdFusion重启命令（根据实际安装路径调整）：

/opt/coldfusion2018/bin/coldfusion restart

临时应急方案（仅测试环境使用） #

若需快速验证业务逻辑，可在CFHTTP标签中临时跳过证书验证（生产环境禁止使用，存在安全风险）：

<cfhttp url="https://目标域名/api" method="GET" secure="false" validatecert="false">
</cfhttp>

注意事项 #

• 生产环境必须采用导入证书的方式，跳过证书验证会暴露中间人攻击风险
• 确认操作的是ColdFusion当前使用的JVM信任库，避免误修改其他JVM的证书文件
• 若目标服务使用自签名证书，直接导入该自签名证书即可

内容的提问来源于stack exchange，提问作者K.Krishna Raju