如何通过JDBC连接使用自签名证书的OpenSearch服务器？

你遇到的PKIX path building failed错误，核心原因是JVM默认不信任自签名SSL证书——hostnameVerification=false仅关闭了主机名与证书CN的匹配校验，但JVM仍会验证证书是否在信任列表中，自签名证书不在默认信任列表内，因此触发报错。

以下是几种可行的解决方法：

方法1：导入自签名证书到JVM信任库（推荐开发/测试环境） #

这是最规范的处理方式，让JVM主动信任目标服务器的证书：

1. 获取OpenSearch服务器的自签名证书
   使用openssl命令从服务器抓取证书：

   openssl s_client -connect dev01.sandbox.corp:9200 </dev/null | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > opensearch-dev.crt
   

2. 导入证书到JVM默认信任库
   找到你的JDK安装路径，默认信任库位置：JDK 8及以下为$JAVA_HOME/jre/lib/security/cacerts，JDK 9+为$JAVA_HOME/lib/security/cacerts。执行导入命令：

   keytool -importcert -file opensearch-dev.crt -alias opensearch-dev -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit
   

   （默认信任库密码为changeit，若修改过请替换为实际密码）
3. 重启你的应用，让JVM加载更新后的信任库。

方法2：修改JDBC URL跳过证书验证（仅开发环境临时使用） #

如果只是临时测试，不想修改JVM信任库，可以在JDBC URL中添加trust_all_certs=true参数，强制驱动信任所有证书：

jdbc:opensearch://https://dev01.sandbox.corp:9200/?hostnameVerification=false&trust_all_certs=true

⚠️ 注意：这种方式存在安全风险，绝对不能在生产环境使用。

方法3：通过JVM参数全局禁用证书验证（不推荐） #

启动应用时添加以下JVM参数，让JVM信任所有SSL证书：

java -Djavax.net.ssl.trustStoreType=JKS -Djavax.net.ssl.trustStore=/dev/null -Djavax.net.ssl.trustStorePassword=changeit -jar your-app.jar

这种方法会影响JVM中所有SSL连接，风险极高，仅适合临时调试场景。

内容的提问来源于stack exchange，提问作者Otto