Spring Boot通过SSL verify-ca连接PostgreSQL时密钥文件读取失败

排查方向及解决步骤 #

1. 检查client-key.pem文件有效性 #

• 打开密钥文件，确认仅包含单个密钥块：开头是-----BEGIN PRIVATE KEY-----，结尾是-----END PRIVATE KEY-----，中间无多余注释、空行或其他密钥内容。
• 若密钥带密码保护，Spring Boot JDBC驱动不支持直接读取，需用openssl去除密码：

  openssl rsa -in client-key.pem -out client-key-unencrypted.pem
  

  替换使用无密码版本的密钥文件。

2. 修正证书文件加载路径 #

• 避免直接使用resources目录相对路径（打包后路径结构会变化），优先使用绝对路径指向项目外的固定目录；
• 若需从resources加载，通过流读取而非文件路径：

  // 示例：通过ClassPathResource读取密钥文件流
  InputStream keyStream = new ClassPathResource("client-key-unencrypted.pem").getInputStream();
  

3. 核对JDBC URL配置 #

确保SSL参数完整且正确，示例配置：

jdbc:postgresql://your-host:5432/your-db?sslmode=verify-ca&sslrootcert=/path/to/root.crt&sslcert=/path/to/client-cert.pem&sslkey=/path/to/client-key-unencrypted.pem

注意参数名：sslkey对应私钥文件，sslcert对应客户端证书，sslrootcert对应CA根证书。

4. 验证密钥与证书的匹配性 #

用openssl命令确认密钥和客户端证书是否对应：

# 提取证书公钥哈希
openssl x509 -noout -modulus -in client-cert.pem | openssl md5
# 提取密钥公钥哈希
openssl rsa -noout -modulus -in client-key.pem | openssl md5

两个结果需完全一致，否则说明密钥与证书不匹配，需重新生成配对的证书和密钥。

5. 关于DER格式转换的注意事项 #

若尝试转DER格式，需使用正确的openssl命令（针对RSA私钥）：

openssl rsa -in client-key.pem -outform DER -out client-key.der

但JDBC驱动原生支持无密码的PEM格式，优先使用PEM可避免格式转换带来的问题。

内容的提问来源于stack exchange，提问作者Alexender