Spring Boot RestClient客户端证书认证遇权限拒绝，求调试与代码排查

代码潜在问题排查 #

1. KeyStore别名与私钥密码一致性

   • 你在setKeyEntry时使用的别名是serviceurl.org，部分服务器会对客户端证书的别名有要求，可尝试改为与证书CN匹配的名称。
   • 注意loadKeyMaterial使用的generatedPassword和setKeyEntry的密码一致，但需确认私钥本身是否需要密码：如果从cert.getDataPrivate解密得到的私钥是加密状态，SSLUtils.getPrivateKeyFromString(privateKey)方法是否正确传入了解密密码？若私钥本身带密码但未正确处理，会导致SSL握手时无法使用私钥，引发权限拒绝。

2. 证书链顺序正确性
   SSL要求证书链顺序必须是用户证书在前，中间CA证书次之，根CA证书最后。你的代码中chain[0]是用户证书，后续依次添加链证书，但需确认cert.getChain()返回的链是否是从中间CA到根CA的顺序，若顺序颠倒，服务器会无法验证证书链的完整性。

3. HTTP认证策略干扰
   你设置了setTargetAuthenticationStrategy(new DefaultAuthenticationStrategy())，这是用于HTTP层面的认证（如Basic Auth），而客户端证书认证属于SSL/TLS层，该配置可能多余甚至干扰SSL握手流程，可尝试移除后测试。

4. RestClient与RestTemplate的baseUrl冲突
   你同时给RestTemplate设置了rootUri，又给RestClient设置了baseUrl，虽然理论上RestClient会覆盖，但建议保持一致，避免潜在的请求路径拼接问题。

便捷调试方法 #

1. 开启SSL握手日志
   在JVM启动参数中添加：

   -Djavax.net.debug=ssl,handshake
   

   该日志会输出完整的SSL握手流程，包括客户端证书发送情况、服务器证书验证结果、握手错误原因。对比curl的SSL日志（可通过curl -v https://serviceurl.org查看），就能定位到Java请求与curl的差异点。

2. 直接使用curl的证书文件构建KeyStore测试
   将curl使用的证书和私钥转换为JKS格式（比如用keytool命令），然后在代码中直接加载这个现成的JKS，替代你动态构建KeyStore的逻辑。如果请求成功，说明你动态构建KeyStore的过程存在错误（比如证书解析、链顺序、私钥处理问题）。

3. 打印KeyStore内容验证
   在getKeyStore方法末尾添加代码，打印KeyStore中的条目信息：

   Enumeration<String> aliases = keyStore.aliases();
   while (aliases.hasMoreElements()) {
       String alias = aliases.nextElement();
       System.out.println("Alias: " + alias);
       System.out.println("Has private key: " + keyStore.isKeyEntry(alias));
       Certificate[] certChain = keyStore.getCertificateChain(alias);
       for (int i = 0; i < certChain.length; i++) {
           System.out.println("Cert " + i + ": " + certChain[i].getSubjectDN());
       }
   }
   

   确认私钥存在、证书链完整且顺序正确。

4. 抓包对比请求差异
   使用WireShark抓取curl和Java程序的请求包，对比SSL握手阶段的客户端Hello、证书发送、服务器响应等环节，直观查看Java请求是否未正确发送客户端证书，或服务器返回了特定的错误alert。

内容的提问来源于stack exchange，提问作者Michael Hozza