解决Windows下IntelliJ中SSL连接的trustAnchors参数非空异常

在Windows系统的IntelliJ中手动运行程序连接SSL套接字时，遇到java.security.InvalidAlgorithmParameterException: the trustAnchors parameter must be non-empty异常，已知该错误成因多样，以下是已尝试但无效的操作：

• 将机器证书、中间证书、根证书全部导入Java cacerts存储；
• 按根证书→中间证书→机器证书的顺序导入；
• 使用-trustcacerts参数仅导入根证书；
• 确认使用IntelliJ关联JDK的cacerts文件，但在IntelliJ的CLI参数中添加-Djavax.net.debug=all后无日志输出；
• 添加-Djavax.net.ssl.trustStore="C:\Program Files\Java\jdk-20\lib\security\cacerts"指定密钥库绝对路径，依旧无效。

已通过keytool验证目标cacerts中存在以下可信证书条目：

C:\WINDOWS\system32>keytool -list -keystore "C:\Program Files\Java\jdk-20\lib\security\cacerts" -storepass changeit | findstr dev

devissuingcert, Aug 15, 2023, trustedCertEntry,
devrcmcert, Aug 15, 2023, trustedCertEntry,
devrootcert, Aug 15, 2023, trustedCertEntry,

解决思路建议 #

1. 检查cacerts文件权限：Windows下Program Files目录的文件可能有读写权限限制，确认运行IntelliJ的用户对C:\Program Files\Java\jdk-20\lib\security\cacerts有读取权限，必要时右键文件→属性→安全选项卡，添加当前用户的读取权限。
2. 验证cacerts文件完整性：用keytool -list -keystore "C:\Program Files\Java\jdk-20\lib\security\cacerts" -storepass changeit完整列出所有证书，确认根证书devrootcert的状态正常，没有损坏。也可以尝试备份原cacerts，重新导入根证书后再测试。
3. 确认IntelliJ运行配置的JDK：检查IntelliJ的Run/Debug配置中，"JRE"选项是否明确选择了jdk-20——项目模块可能指定了其他JDK，导致实际运行时用的不是你修改cacerts的版本。
4. 排查系统级干扰：Windows全局SSL设置或第三方安全软件（杀毒、防火墙）可能拦截Java的SSL证书读取，尝试临时关闭安全软件后测试。
5. 手动指定trustStore密码：在JVM参数中添加-Djavax.net.ssl.trustStorePassword=changeit，避免密码读取失败导致无法加载trustStore。
6. 编写极简测试代码：用以下代码做独立SSL连接测试，排除项目代码本身的配置干扰：

import javax.net.ssl.SSLSocket;
import javax.net.ssl.SSLSocketFactory;
import java.io.IOException;

public class SSLTest {
    public static void main(String[] args) {
        try {
            SSLSocketFactory factory = (SSLSocketFactory) SSLSocketFactory.getDefault();
            SSLSocket socket = (SSLSocket) factory.createSocket("目标地址", 443);
            socket.startHandshake();
            System.out.println("握手成功");
            socket.close();
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

7. 尝试降级JDK版本：JDK 20属于较新的版本，可能存在SSL兼容性问题，可临时切换到稳定版本（如JDK 17），重新导入证书后测试。

内容的提问来源于stack exchange，提问作者patricio2626