如何仅加载信任库构建SSLContext，修复证书链验证禁用问题？

需求目标 #

能够仅基于信任库编写代码：SSLContextBuilder.create().loadTrustMaterial(getTrustStore()).build();

已尝试方案 #

public final SSLContext getSslContext() {
        try {
            return SSLContextBuilder.create().loadTrustMaterial(getTrustStore(),TrustAllStrategy.INSTANCE).build();
        } catch (Exception e) {
            // 异常处理逻辑
            throw new RuntimeException("Failed to create SSL context", e);
        }
    }

    public KeyStore getTrustStore() throws Exception {
        final var trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        try (InputStream trustStoreFile = new FileInputStream("/path/to/truststore")) {
            final var trustStore = KeyStore.getInstance("PKCS12");
            trustStore.load(trustStoreFile, "".toCharArray());
            trustManagerFactory.init(trustStore);
            return trustStore;
        }
    }

遇到的问题 #

使用多款静态分析工具时，均提示：

in getSslContext. The loadTrustMaterial parameter, effectively disables verification of the SSL certificate trust chain.

Similarity ID: -196258711

问题咨询 #

如何修复该问题？目前不存在public SSLContextBuilder loadKeyMaterial(KeyStore keystore)这类API，怎样才能避免使用TrustAllStrategy，实现仅加载信任库的代码？

修复方案 #

告警原因是你使用了TrustAllStrategy.INSTANCE，这个策略会完全跳过证书信任链校验，属于不安全操作。要实现仅加载指定信任库且正常校验证书的逻辑，只需要移除TrustAllStrategy.INSTANCE参数，直接调用仅传入信任库的loadTrustMaterial重载方法即可。

修正后的核心代码 #

public final SSLContext getSslContext() {
    try {
        // 仅传入信任库，使用默认的证书校验逻辑
        return SSLContextBuilder.create()
                .loadTrustMaterial(getTrustStore())
                .build();
    } catch (Exception e) {
        throw new RuntimeException("Failed to initialize SSL context", e);
    }
}

优化信任库加载方法 #

原getTrustStore方法中，trustManagerFactory.init(trustStore)属于冗余操作，你只需要加载并返回信任库即可，无需提前初始化TrustManagerFactory，优化后代码：

public KeyStore getTrustStore() throws Exception {
    try (InputStream trustStoreFile = new FileInputStream("/path/to/truststore")) {
        final var trustStore = KeyStore.getInstance("PKCS12");
        // 如果信任库设置了密码，将空字符串替换为实际密码
        trustStore.load(trustStoreFile, "".toCharArray());
        return trustStore;
    }
}

原理说明 #

当调用loadTrustMaterial(KeyStore truststore)时，Apache HttpClient的SSLContextBuilder会默认启用标准证书信任校验逻辑：基于传入信任库中的根证书，逐层校验服务端证书的信任链，不会跳过任何校验步骤，既符合静态分析工具的安全要求，也满足你仅加载指定信任库的需求。

内容的提问来源于stack exchange，提问作者PatPanda