Java使用MongoClient的DNS种子列表连接格式时触发SSL握手异常

核心问题分析 #

1. 连接字符串未注入客户端配置：你的代码创建MongoClientSettings时未将srv连接字符串应用到配置中，导致客户端默认尝试连接本地MongoDB（127.0.0.1:27017），而非生产环境集群。
2. TLS版本不兼容：SSL调试日志显示客户端仅用TLSv1.1发起握手，而生产环境MongoDB集群（如MongoDB Atlas）通常要求至少TLSv1.2，服务器因此终止握手。

解决步骤 #

1. 正确应用srv连接字符串到配置 #

修改代码，将连接字符串解析后注入配置构建器，确保客户端通过srv记录解析生产集群地址：

// 解析生产环境的srv连接字符串
ConnectionString connectionString = new ConnectionString("mongodb+srv://username:password@host/dbname?retryWrites=true&w=majority");

MongoClientSettings settings = MongoClientSettings.builder()
        .applyConnectionString(connectionString) // 关键：加载srv连接配置
        .applyToSslSettings(builder -> {
            builder.enabled(true);
            // 仅当生产证书存在主机名不匹配的特殊场景时开启，默认建议关闭
            // builder.invalidHostNameAllowed(true);
        })
        .applyToSocketSettings(builder -> {
            // 修正超时时间：原6000秒不合理，改为60秒
            builder.connectTimeout(60000, TimeUnit.MILLISECONDS);
            builder.readTimeout(60000, TimeUnit.MILLISECONDS);
        })
        .build();

MongoClient blockingMongoClient = MongoClients.create(settings);
// 后续数据库、集合操作代码不变

2. 强制使用TLS 1.2及以上版本 #

方式一：代码内配置SSL上下文

// 创建支持TLSv1.2的SSL上下文
SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, null, null);

MongoClientSettings settings = MongoClientSettings.builder()
        .applyConnectionString(connectionString)
        .applyToSslSettings(builder -> {
            builder.enabled(true);
            builder.context(sslContext); // 注入自定义SSL上下文
        })
        .applyToSocketSettings(builder -> {
            builder.connectTimeout(60000, TimeUnit.MILLISECONDS);
            builder.readTimeout(60000, TimeUnit.MILLISECONDS);
        })
        .build();

方式二：JVM启动参数全局配置

在应用启动时添加以下参数，强制客户端使用TLSv1.2：

-Djdk.tls.client.protocols=TLSv1.2
-Dhttps.protocols=TLSv1.2

3. 统一MongoDB驱动版本 #

同步和反应式驱动版本建议保持一致，避免兼容性问题：

implementation group: 'org.mongodb', name: 'mongodb-driver-sync', version: '4.9.1'
implementation group: 'org.mongodb', name: 'mongodb-driver-reactivestreams', version: '4.9.1'

4. 生产环境网络验证 #

• 确认应用服务器IP已加入生产MongoDB集群的访问白名单（如Atlas的IP白名单配置）
• 检查应用服务器能正常访问集群节点的27017端口

验证效果 #

修改完成后，重新运行代码，SSL握手日志应显示客户端使用TLSv1.2发起请求，连接地址为生产集群节点而非本地127.0.0.1。

内容的提问来源于stack exchange，提问作者krishna murti pathak