Spring是否需重启重载Keystore与TrustStore？能否通过SSLContext热加载？

问题解答 #

1. TrustStore是否需要重启应用才能加载新条目？ #

和Keystore一致，默认情况下Spring初始化阶段会加载TrustStore并缓存对应的信任管理器，所以新增信任条目后，不重启应用的话，新的信任证书不会生效——因为现有SSL连接都会复用初始化时绑定的旧TrustStore内容。

2. 能否通过创建新SSLContext实现无重启重载？ #

可以，但你提供的示例代码未指定自定义的KeyManager或TrustManager，相当于使用空配置，无法加载更新后的Keystore/TrustStore。正确的实现步骤是：

• 重新读取更新后的Keystore/TrustStore文件
• 生成新的KeyManagerFactory和TrustManagerFactory
• 用新的管理器初始化SSLContext

示例代码如下：

// 重新加载更新后的Keystore
KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
try (InputStream ksStream = new FileInputStream("path/to/updated/keystore.jks")) {
    keyStore.load(ksStream, "keystorePassword".toCharArray());
}

// 重新加载更新后的TrustStore
KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
try (InputStream tsStream = new FileInputStream("path/to/updated/truststore.jks")) {
    trustStore.load(tsStream, "truststorePassword".toCharArray());
}

// 构建新的KeyManager和TrustManager
KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
kmf.init(keyStore, "keyPassword".toCharArray());

TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(trustStore);

// 创建并初始化新的SSLContext
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), new SecureRandom());

完成SSLContext创建后，需要确保后续的SSL连接组件（如RestTemplate、HttpClient）都使用这个新的上下文，替换掉Spring初始化时的旧配置。以RestTemplate为例：

HttpClient httpClient = HttpClientBuilder.create()
        .setSSLContext(sslContext)
        .build();
HttpComponentsClientHttpRequestFactory requestFactory = new HttpComponentsClientHttpRequestFactory(httpClient);
RestTemplate restTemplate = new RestTemplate(requestFactory);

这样就能在不重启应用的前提下，让新的SSL连接使用更新后的密钥/信任证书。

内容的提问来源于stack exchange，提问作者Jacob