Docker Compose遇javax.net.ssl.SSLHandshakeException证书问题求助

一、宿主机导入证书无效的原因 #

Docker容器是独立的运行环境，你在宿主机JVM的cacerts信任库中导入证书，容器内的Java程序根本访问不到这个文件，所以错误不会消失。

二、正确导入证书到容器（推荐方案） #

必须把证书导入到容器内部的Java信任库中，有两种常用方式：

1. 构建自定义镜像时嵌入证书 #

编写Dockerfile，基于你的Java基础镜像，添加证书导入步骤：

FROM openjdk:17-jdk-slim

# 把本地证书复制到容器临时目录
COPY mycert /tmp/mycert

# 导入证书到容器JVM的信任库
RUN keytool -import -noprompt -trustcacerts -alias myalias -file /tmp/mycert -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit

然后在docker-compose.yml中使用这个自定义镜像：

services:
  your-app-service:
    build: .
    # 其他服务配置（端口、环境变量等）

2. 挂载自定义信任库到容器 #

如果不想重新构建镜像，可以先在宿主机准备好已导入证书的cacerts文件，然后通过挂载替换容器内的默认信任库：

services:
  your-app-service:
    image: openjdk:17-jdk-slim
    volumes:
      # 替换为宿主机上包含目标证书的cacerts文件路径
      - /path/to/your/custom/cacerts:/usr/lib/jvm/java-17-openjdk-amd64/lib/security/cacerts
    # 其他服务配置

注意：要保证宿主机的cacerts文件权限正确，容器内的JVM进程能读取该文件。

三、临时禁用SSL证书验证（仅测试用，禁止生产环境使用） #

如果只是临时测试需要跳过证书检查，可以通过Java启动参数关闭SSL验证。在docker-compose.yml中给Java程序添加启动参数：

services:
  your-app-service:
    image: openjdk:17-jdk-slim
    command: java -Djavax.net.ssl.trustStore=/dev/null -Djavax.net.ssl.trustStoreType=JKS -Djavax.net.ssl.trustStorePassword=changeit -jar your-app.jar

或者通过环境变量传递参数：

services:
  your-app-service:
    image: openjdk:17-jdk-slim
    environment:
      - JAVA_OPTS="-Djavax.net.ssl.trustStore=/dev/null -Djavax.net.ssl.trustStoreType=JKS -Djavax.net.ssl.trustStorePassword=changeit"
    command: java $JAVA_OPTS -jar your-app.jar

⚠️ 重要提醒：这种方式会完全绕过SSL证书校验，存在严重安全风险，绝对不能用于生产环境。

内容的提问来源于stack exchange，提问作者lida