在IntelliJ中运行Spring Java应用JUnit时出现证书错误

这个错误是因为JVM默认信任库中没有包含目标外部系统的HTTPS证书，导致无法验证服务器身份。以下是几种可行的解决办法：

1. 将目标证书导入JVM默认信任库 #

这是规范的生产/测试通用方案：

• 导出目标服务器证书：用浏览器访问外部系统URL，点击地址栏的锁图标，进入证书详情页面，将证书导出为DER格式文件（比如target-cert.cer）。
• 用keytool命令导入到JVM的cacerts信任库：

  keytool -import -alias target-server -file /path/to/target-cert.cer -keystore [你的JDK路径]/jre/lib/security/cacerts
  

  默认信任库密码为changeit，执行时按提示确认导入即可。
• 注意：要确保导入的是IntelliJ当前使用的JDK对应的信任库，可通过File > Project Structure > SDKs查看JDK路径。

2. 在测试代码中临时跳过证书验证（仅适用于测试环境） #

如果只是为了快速跑通测试，不想修改系统信任库，可以在测试代码中禁用SSL验证：

import javax.net.ssl.*;
import java.security.cert.X509Certificate;

public class SslTestUtils {
    public static void disableSslValidation() {
        try {
            TrustManager[] trustAllCerts = new TrustManager[]{
                new X509TrustManager() {
                    @Override
                    public X509Certificate[] getAcceptedIssuers() {
                        return new X509Certificate[0];
                    }

                    @Override
                    public void checkClientTrusted(X509Certificate[] certs, String authType) {}

                    @Override
                    public void checkServerTrusted(X509Certificate[] certs, String authType) {}
                }
            };

            SSLContext sslContext = SSLContext.getInstance("TLS");
            sslContext.init(null, trustAllCerts, new java.security.SecureRandom());
            HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());

            HostnameVerifier allowAllHosts = (hostname, session) -> true;
            HttpsURLConnection.setDefaultHostnameVerifier(allowAllHosts);
        } catch (Exception e) {
            throw new RuntimeException("Failed to disable SSL validation", e);
        }
    }
}

在测试类的初始化方法中调用：

import org.junit.jupiter.api.BeforeAll;

public class ExternalApiTest {
    @BeforeAll
    static void setup() {
        SslTestUtils.disableSslValidation();
    }

    // 你的测试方法
}

⚠️ 注意：此方法绝对不能用于生产环境，会带来严重的安全风险。

3. 为JUnit运行配置指定自定义信任库 #

如果不想修改全局JVM信任库，可以创建自定义信任库并在测试运行时指定：

• 用keytool创建自定义信任库并导入证书：

  keytool -import -alias target-server -file /path/to/target-cert.cer -keystore ./my-test-truststore.jks
  

• 打开IntelliJ的JUnit运行配置，在VM options中添加：

  -Djavax.net.ssl.trustStore=/path/to/my-test-truststore.jks -Djavax.net.ssl.trustStorePassword=你的信任库密码
  

为什么只有部分测试报错？ #

出现错误的测试是真实发起了外部HTTPS请求，而其他测试可能使用了Mock/Stub（比如用@MockBean替换了HTTP客户端），跳过了真实的证书验证流程。

内容的提问来源于stack exchange，提问作者KJ21