gRPC客户端无法通过SSL/TLS连接服务器，报错PKIX路径构建失败

尝试连接已启用TLS但无需客户端证书的gRPC服务器，使用NettyChannelBuilder编写了如下代码：

NettyChannelBuilder.forTarget("host:443")
                    .useTransportSecurity()
                    .keepAliveTime(30, TimeUnit.SECONDS)
                    .keepAliveTimeout(5, TimeUnit.SECONDS)
                    .negotiationType(NegotiationType.TLS)
                    .enableRetry()
                    .build();

但连接失败，报错信息如下：

io.grpc.StatusRuntimeException: UNAVAILABLE: io exception

底层异常为：

Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

请问哪里操作有误？

这个错误的核心是JVM无法验证服务器的SSL证书——要么服务器用的是自签名证书，要么证书不在JVM默认的信任证书库中，和是否需要客户端证书无关。

给你几种可行的解决方式：

1. 导入服务器证书到JVM全局信任库（推荐正式环境） #

把服务器的CA证书导入JVM自带的cacerts信任库：

• 找到JVM安装目录下的jre/lib/security/cacerts文件
• 用keytool命令执行导入：

keytool -import -trustcacerts -alias server-cert -file /path/to/your/server-cert.pem -keystore $JAVA_HOME/jre/lib/security/cacerts

默认密码是changeit，导入后重启应用即可。

2. 代码中指定自定义信任库（适合单应用场景） #

不想修改全局设置的话，直接在代码里加载指定证书，自定义SSL上下文：

// 加载服务器证书文件
File certFile = new File("/path/to/server-cert.pem");
SslContext sslContext = GrpcSslContexts.forClient()
    .trustManager(certFile)
    .build();

// 创建Channel时使用自定义SslContext
NettyChannelBuilder.forTarget("host:443")
    .sslContext(sslContext)
    .keepAliveTime(30, TimeUnit.SECONDS)
    .keepAliveTimeout(5, TimeUnit.SECONDS)
    .enableRetry()
    .build();

注：.useTransportSecurity()和.negotiationType(NegotiationType.TLS)是重复设置，去掉其中一个就行，不影响功能。

3. 临时禁用证书验证（仅测试环境用！） #

绝对不能在生产环境用，只适合本地调试：

SslContext sslContext = GrpcSslContexts.forClient()
    .trustManager(InsecureTrustManagerFactory.INSTANCE)
    .build();

NettyChannelBuilder.forTarget("host:443")
    .sslContext(sslContext)
    .keepAliveTime(30, TimeUnit.SECONDS)
    .keepAliveTimeout(5, TimeUnit.SECONDS)
    .enableRetry()
    .build();

这种方式会跳过所有证书校验，有严重安全风险。

内容的提问来源于stack exchange，提问作者sandy