Glassfish 2.1迁移至5.1后遇SSLHandshakeException-PKIX证书路径问题求助

问题根源 #

Glassfish 5.1默认依赖的JDK版本（通常为Java 8及以上），其信任证书库与Glassfish 2.1使用的旧版JDK（如Java 6）存在差异，且外部API/Amazon SQS的SSL证书未被纳入Glassfish 5.1的信任体系，最终导致证书校验失败。

可行解决方案 #

1. 导入目标证书到Glassfish信任库

这是最直接有效的方案，确保目标服务的证书被Glassfish信任：

• 定位Glassfish默认信任库：路径通常为你的Glassfish安装目录/jdk/jre/lib/security/cacerts，默认密码为changeit
• 导出目标服务的SSL证书：
  • 用浏览器访问外部API的HTTPS地址，在证书详情中导出为.crt格式文件；
  • 或通过keytool命令导出：

    keytool -printcert -sslserver <目标API域名>:443 -rfc > target-cert.crt
    

• 导入证书到信任库：

  keytool -importcert -file target-cert.crt -keystore <Glassfish cacerts绝对路径> -alias target-api-cert
  

  输入信任库密码后，确认完成证书导入。

2. 修正系统属性配置

你之前设置的信任库路径可能存在相对路径无效的问题，需调整为绝对路径，并验证信任库内容：

• 修改代码中的路径配置：

  System.setProperty("javax.net.ssl.trustStore","/opt/glassfish5/domains/domain1/config/clientTrustStore.key");
  System.setProperty("javax.net.ssl.trustStorePassword","qwerty");
  

• 检查信任库是否包含目标证书：

  keytool -list -keystore /opt/glassfish5/domains/domain1/config/clientTrustStore.key
  

3. 确保自定义X509TrustManager生效

若使用自定义TrustManager，必须将其正确绑定到应用的HTTP客户端：

• 示例：为URLConnection配置自定义SSLContext

  SSLContext sslContext = SSLContext.getInstance("TLS");
  sslContext.init(null, new TrustManager[]{new CustomX509TrustManager()}, new SecureRandom());
  // 全局生效设置
  HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());
  

• 若使用第三方HTTP客户端（如Apache HttpClient），需单独为其配置SSLContext，不能依赖全局设置。

4. 通过domain.xml配置全局信任库（推荐）

在domain.xml中添加JVM参数，确保整个Glassfish实例使用统一的信任库，避免代码设置的局限性：

<jvm-options>-Djavax.net.ssl.trustStore=/opt/glassfish5/domains/domain1/config/cacerts</jvm-options>
<jvm-options>-Djavax.net.ssl.trustStorePassword=changeit</jvm-options>

添加完成后重启Glassfish使配置生效。

注意事项 #

• 生产环境禁止使用信任所有证书的自定义TrustManager，会引入严重安全风险；
• 确认目标服务的证书未过期、证书链完整；
• 所有配置修改后必须重启Glassfish再进行测试。

内容的提问来源于stack exchange，提问作者Bruno Tchaikovsky