Quarkus+Apache Camel原生编译Docker运行SSL trustAnchors错误排查

核心原因 #

GraalVM原生编译模式下，JVM默认的信任库不会被自动打包到镜像中，而你的ConfigureSsl类加载SSL配置时，依赖的信任锚（trustAnchors）为空，因此抛出该异常。JVM模式下会自动读取系统默认的cacerts文件，但原生镜像不会包含这些资源，除非显式配置。

具体排查方向及解决方法 #

1. 确保自定义SSL证书被原生编译正确打包 #

如果ConfigureSsl使用了自定义信任证书，需将证书文件标记为原生编译时需包含的资源：

• 在src/main/resources/META-INF/native-image/[你的组ID]/[你的ArtifactID]/native-image.properties中添加：

  Args = -H:IncludeResources=".*\\.pem|.*\\.crt|.*\\.jks"
  

• 或在Quarkus配置文件application.properties中配置：

  quarkus.native.resources.includes=*.pem,*.crt,*.jks
  

2. 引入默认CA信任库到原生镜像 #

如果依赖系统默认CA证书，需在原生编译或Docker构建阶段显式引入JDK的cacerts文件：

• 修改Dockerfile，复制cacerts并指定启动参数：

  FROM quay.io/quarkus/quarkus-micro-image:2.16
  COPY --from=build /work/application /work/application
  # 从构建阶段复制JDK信任库（路径需根据实际构建环境调整）
  COPY --from=build /opt/graalvm/lib/security/cacerts /etc/ssl/certs/java/cacerts
  ENV JAVA_OPTIONS="-Djavax.net.ssl.trustStore=/etc/ssl/certs/java/cacerts -Djavax.net.ssl.trustStorePassword=changeit"
  CMD ["/work/application", "-Dquarkus.http.host=0.0.0.0"]
  

• 或原生编译时直接嵌入信任库：

  native-image -H:IncludeResources="/lib/security/cacerts" -Djavax.net.ssl.trustStore=classpath:/lib/security/cacerts
  

3. 修正ConfigureSsl类的SSL配置逻辑 #

避免依赖动态系统属性，确保原生模式下能正确加载信任库：

• 直接指定类路径下的证书文件：

  InputStream trustStoreStream = Thread.currentThread().getContextClassLoader().getResourceAsStream("truststore.jks");
  KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
  trustStore.load(trustStoreStream, "your-password".toCharArray());
  
  TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
  tmf.init(trustStore);
  

• 为SSL相关类添加反射注册，避免原生编译时被优化掉：

  import io.quarkus.runtime.annotations.RegisterForReflection;
  
  @RegisterForReflection(targets = {TrustManagerFactory.class, KeyStore.class})
  public class ConfigureSsl {
      // 你的SSL配置逻辑
  }
  

4. 验证容器中证书文件权限 #

如果在容器中挂载或复制了证书，确保运行用户有读取权限：

RUN chmod 644 /etc/ssl/certs/java/cacerts

内容的提问来源于stack exchange，提问作者Cesar Justo