javax.net.ssl证书与Azure Storage SDK冲突问题排查求助

核心问题根源 #

全局设置javax.net.ssl.keyStore/javax.net.ssl.trustStore等系统属性后，会覆盖JVM默认的SSL上下文，导致Azure Storage SDK无法找到其所需的CA根证书，进而触发PKIX路径构建失败。

1. 避免全局SSL属性，给DB2数据源单独配置SSL上下文 #

不要通过系统属性设置SSL参数，而是直接为DB2数据源构建专属的SSLContext，不影响其他组件：

// 加载DB2密钥库与信任库
KeyStore db2KeyStore = KeyStore.getInstance("JKS");
db2KeyStore.load(new FileInputStream("/path/to/db2-keystore.jks"), "keystore-pwd".toCharArray());

KeyStore db2TrustStore = KeyStore.getInstance("JKS");
db2TrustStore.load(new FileInputStream("/path/to/db2-truststore.jks"), "truststore-pwd".toCharArray());

// 构建DB2专属SSLContext
KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
kmf.init(db2KeyStore, "keystore-pwd".toCharArray());

TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(db2TrustStore);

SSLContext db2SslContext = SSLContext.getInstance("TLS");
db2SslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);

// 绑定到DB2数据源
DB2DataSource dataSource = new DB2DataSource();
dataSource.setServerName("db2-host");
dataSource.setPortNumber(50000);
dataSource.setDatabaseName("db-name");
dataSource.setSslConnection(true);
dataSource.setSslContext(db2SslContext); // 使用专属SSL上下文

2. 为Azure Storage SDK指定独立SSL上下文 #

如果必须保留全局SSL属性，可为Azure Storage客户端单独配置包含默认CA根证书的SSLContext：

// 加载JVM默认信任库（包含Azure所需的主流CA根证书）
KeyStore defaultTrustStore = KeyStore.getInstance(KeyStore.getDefaultType());
defaultTrustStore.load(null, null);

TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(defaultTrustStore);

SSLContext azureSslContext = SSLContext.getInstance("TLS");
azureSslContext.init(null, tmf.getTrustManagers(), null);

// 构建带自定义SSL的Azure Blob客户端
HttpClient httpClient = HttpClient.create().secure(sslSpec -> sslSpec.sslContext(azureSslContext));
BlobServiceClient blobClient = new BlobServiceClientBuilder()
    .connectionString("your-azure-connection-string")
    .httpClient(httpClient)
    .build();

3. 合并证书到统一信任库 #

将DB2所需证书与Azure的CA根证书合并到同一个信任库，全局设置后让两个组件都能读取：

• 导出DB2证书：

  keytool -exportcert -alias db2-cert -keystore db2-truststore.jks -file db2.cer
  

• 将DB2证书导入到包含Azure根证书的信任库（可直接用JVM默认信任库，或新建）：

  keytool -importcert -alias db2-cert -file db2.cer -keystore combined-truststore.jks
  

• 设置全局信任库属性：

  System.setProperty("javax.net.ssl.trustStore", "/path/to/combined-truststore.jks");
  System.setProperty("javax.net.ssl.trustStorePassword", "truststore-pwd");
  

4. 解决SSL上下文缓存问题 #

JVM会缓存已初始化的SSL上下文，调用System.clearProperty()无法让已创建的客户端实例重新加载配置。需：

• 确保在所有SSL客户端（DB2、Azure Storage）初始化前，完成SSL属性的正确配置
• 若已初始化客户端，需重新创建实例以应用新的SSL上下文

内容的提问来源于stack exchange，提问作者Atieq ur Rehman