Alpine 3.18.4部署Java17镜像遇libcrypto3升级后cacerts缺失问题

问题场景 #

基于Alpine 3.18.4构建Java 17镜像，执行以下命令完成JRE安装：

apk upgrade --no-cache && apk add --no-cache openjdk17-jre="17.0.9_p8-r0"

启动容器时触发错误：

java.security.InvalidAlgorithmParameterException: the trustAnchors parameter must be non-empty

问题根源排查 #

• 错误直接原因：JDK默认信任库的软链接/usr/lib/jvm/java-17-openjdk/lib/security/cacerts指向的目标文件/etc/ssl/certs/java/cacerts不存在
• 依赖链追踪：openjdk17-jre依赖openjdk17-jre-headless，后者依赖java-cacerts，而java-cacerts又依赖ca-certificates和libcrypto3
• 版本冲突点：当libcrypto3和libssl3为3.1.3-r0版本时，安装流程会自动生成/etc/ssl/certs/java/cacerts；但升级到3.1.4-r0版本后，该文件不再被创建

解决方案 #

方案1：固定依赖版本 #

安装时明确指定libcrypto3和libssl3为3.1.3-r0版本，避免自动升级到有问题的版本：

apk upgrade --no-cache && apk add --no-cache openjdk17-jre="17.0.9_p8-r0" libcrypto3="3.1.3-r0" libssl3="3.1.3-r0"

方案2：手动生成信任库文件 #

如果必须使用libcrypto3/libssl3 3.1.4-r0版本，可手动生成cacerts文件：

# 创建目标目录（若不存在）
mkdir -p /etc/ssl/certs/java/
# 从系统根证书生成JKS格式的信任库，默认密码为changeit
keytool -importkeystore -srckeystore /etc/ssl/certs/ca-certificates.crt -srcstoretype PEM -destkeystore /etc/ssl/certs/java/cacerts -deststoretype JKS -deststorepass changeit -noprompt

内容的提问来源于stack exchange，提问作者Evann