安全策略拦截SBT与JVM：如何通过.pem文件导入SSL证书

1. 将.pem格式CA证书导入JVM信任存储的正确步骤 #

因为你用SDKMan管理Java，每个Java版本都有独立的信任存储文件（cacerts），需针对项目使用的Java版本操作：

• 找到目标Java版本的cacerts路径：
  执行sdk home java <你的Java版本号>（例如sdk home java 1.8.0_392）获取Java安装根目录，cacerts的位置分两种情况：
  • JDK 8及以下：{Java根目录}/jre/lib/security/cacerts
  • JDK 11+：{Java根目录}/lib/security/cacerts
• 备份原cacerts文件（防止操作失误）：

  cp <上述cacerts完整路径> <上述cacerts完整路径>.bak
  

• 导入.pem证书：
  部分JVM版本不直接支持.pem格式，可先转成DER格式（若直接导入可行可跳过此步）：

  openssl x509 -in your-cert.pem -out your-cert.der -outform der
  

  再用keytool导入到cacerts：

  keytool -importcert -alias zscalar-proxy -file your-cert.der -keystore <cacerts完整路径> -storepass changeit
  

  （alias可自定义，默认密钥库密码为changeit，执行后输入yes确认信任证书）
• 验证导入结果：

  keytool -list -keystore <cacerts完整路径> -alias zscalar-proxy -storepass changeit
  

  能显示证书详情则说明导入成功。

2. 将配置写入sbtopts避免重复输入参数 #

完全可以通过sbtopts文件持久化配置，分两种范围：

仓库级配置（仅当前项目生效） #

在项目根目录创建.sbtopts文件，添加以下内容（替换为你的cacerts路径）：

# 指定自定义信任存储
-J-Djavax.net.ssl.trustStore=/Users/xxx/.sdkman/candidates/java/1.8.0_392/jre/lib/security/cacerts
-J-Djavax.net.ssl.trustStorePassword=changeit
# 若需要代理（zscalar/AppGate通常需要），添加以下代理参数
-J-Dhttp.proxyHost=your-proxy-host
-J-Dhttp.proxyPort=your-proxy-port
-J-Dhttps.proxyHost=your-proxy-host
-J-Dhttps.proxyPort=your-proxy-port

系统级配置（所有SBT项目生效） #

根据SBT版本选择对应目录：

• SBT 0.13：~/.sbt/0.13/
• SBT 1.3+：~/.sbt/1.0/
  在上述目录下创建global.sbtopts文件，写入和仓库级相同的配置即可。

额外注意事项 #

• 确保SBT使用的Java版本与你导入证书的版本一致，可通过sdk current java查看当前生效版本，或在项目根目录创建.sdkmanrc指定项目专属Java版本。
• 若仍报错，检查证书是否为完整链（部分代理工具需要导入整个证书链而非单张证书）。

内容的提问来源于stack exchange，提问作者kmh