咨询Spring Cloud Gateway路由至HTTPS外部端点的配置步骤

1. 处理可信证书导入 #

• 如果外部HTTPS端点使用公网权威CA颁发的证书（如Let's Encrypt、DigiCert），JVM默认已信任这类证书，无需额外操作。
• 如果是内部CA或自签名证书：
  • 导出外部端点证书：执行命令

    openssl s_client -connect target-domain:443 < /dev/null | openssl x509 -outform PEM > external-cert.pem
    

  • 导入证书到JVM默认信任库（cacerts）：

    keytool -importcert -file external-cert.pem -alias external-service -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit
    

  • 或创建自定义信任库（避免修改默认cacerts）：

    keytool -importcert -file external-cert.pem -alias external-service -keystore custom-truststore.jks -storepass your-trust-store-pwd
    

2. 配置Gateway的HTTPS客户端参数 #

在application.yml中添加客户端SSL配置：

spring:
  cloud:
    gateway:
      httpclient:
        ssl:
          use-insecure-trust-manager: false # 生产环境必须禁用，否则跳过证书验证
          # 若使用自定义信任库，开启以下配置
          trust-store: classpath:custom-truststore.jks
          trust-store-password: your-trust-store-pwd
          # 可选：指定允许的TLS协议和加密套件
          enabled-protocols: TLSv1.2,TLSv1.3
          ciphers: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

3. 配置HTTPS目标路由规则 #

保持原有路由逻辑，仅需将uri设置为HTTPS协议地址：

spring:
  cloud:
    gateway:
      routes:
        - id: external-https-route
          uri: https://target-domain/api
          predicates:
            - Path=/external-api/**
          filters:
            - StripPrefix=1

4. （可选）配置Gateway自身的HTTPS服务端 #

如果客户端需要通过HTTPS访问Gateway，需配置服务端证书：

server:
  ssl:
    key-store: classpath:gateway-server-cert.jks
    key-store-password: your-server-keystore-pwd
    key-alias: gateway-server-cert
    enabled: true
    port: 443

此处的gateway-server-cert.jks需包含由可信CA颁发的Gateway服务端证书。

5. 验证配置 #

• 启动Gateway服务，发送测试请求到路由地址，确认请求能成功转发至外部HTTPS端点。
• 查看应用日志，若出现SSLHandshakeException，优先排查证书信任是否配置正确。

内容的提问来源于stack exchange，提问作者Arpit S