Oracle Java11+SpringBoot3下RestTemplate证书路径异常未解决求助

环境信息 #

• Oracle Java 11
• Spring Boot 3.x
• 调用代码：

RestTemplate rest = new RestTemplate();

HttpHeaders httpHeaders = new HttpHeaders();
httpHeaders.set("api-key", key);
HttpEntity<String> entity = new HttpEntity<>("body", httpHeaders);
ResponseEntity<String> resp = rest.exchange(url, HttpMethod.GET, entity, String.class);

问题 #

调用时抛出异常：

sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

已尝试无效方案 #

• 通过InstallCert.java将证书导入Java cacerts目录，收到成功提示
• 重启应用后重试
• 尝试StackOverflow相关方案

可行解决方案 #

1. 确认证书导入的cacerts路径与应用使用的JDK一致 #

Java 11默认cacerts路径为$JAVA_HOME/lib/security/cacerts，但应用可能使用了其他JRE环境：

• 输出应用实际使用的Java路径：

  System.out.println(System.getProperty("java.home"));
  

• 用keytool验证证书是否存在于该路径的cacerts中：

  keytool -list -keystore [实际java路径]/lib/security/cacerts -alias [证书别名]
  

  默认密码为changeit，若能查到证书信息说明导入路径正确，否则需重新导入到正确路径。

2. 导入完整证书链（而非单独服务器证书） #

多数HTTPS网站的证书由中间CA签发，仅导入服务器证书无法形成完整信任链：

• 通过浏览器访问目标URL，导出完整证书链（包含根CA、中间CA、服务器证书）
• 用keytool导入证书链：

  keytool -import -trustcacerts -alias [自定义别名] -file [证书链文件路径] -keystore $JAVA_HOME/lib/security/cacerts
  

  输入密码changeit确认导入。

3. 给RestTemplate配置自定义信任库（推荐生产环境使用） #

避免修改默认cacerts，创建自定义信任库并配置RestTemplate：

1. 将证书导入自定义信任库：

   keytool -import -trustcacerts -alias [别名] -file [证书文件] -keystore my-truststore.jks
   

2. 在Spring Boot中配置RestTemplate加载该信任库：

   @Bean
   public RestTemplate restTemplate() throws Exception {
       // 加载自定义信任库
       KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
       trustStore.load(new ClassPathResource("my-truststore.jks").getInputStream(), "自定义密码".toCharArray());
   
       // 创建TrustManagerFactory
       TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
       trustManagerFactory.init(trustStore);
   
       // 构建SSLContext
       SSLContext sslContext = SSLContextBuilder.create()
               .setTrustManagerFactory(trustManagerFactory)
               .build();
   
       // 配置HttpClient
       HttpClient httpClient = HttpClientBuilder.create()
               .setSSLContext(sslContext)
               .build();
   
       return new RestTemplate(new HttpComponentsClientHttpRequestFactory(httpClient));
   }
   

4. 测试环境临时绕过证书验证（生产禁用） #

仅用于测试场景，不建议生产环境使用：

@Bean
public RestTemplate restTemplate() throws Exception {
    // 创建信任所有证书的TrustManager
    TrustManager[] trustAllCerts = new TrustManager[]{
            new X509TrustManager() {
                public X509Certificate[] getAcceptedIssuers() {
                    return null;
                }
                public void checkClientTrusted(X509Certificate[] certs, String authType) {}
                public void checkServerTrusted(X509Certificate[] certs, String authType) {}
            }
    };

    // 构建SSLContext
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, trustAllCerts, new SecureRandom());

    // 配置HttpClient
    HttpClient httpClient = HttpClientBuilder.create()
            .setSSLContext(sslContext)
            .setSSLHostnameVerifier(NoopHostnameVerifier.INSTANCE)
            .build();

    return new RestTemplate(new HttpComponentsClientHttpRequestFactory(httpClient));
}

内容的提问来源于stack exchange，提问作者Ankit