Spring Webflux双向认证二次请求失败问题求助

问题根源是长连接复用阶段的SSL会话重认证失败+SNI信息未正确携带：服务器端的TLS会话或连接空闲超时后，客户端复用旧连接时没有重新提交客户端证书，同时SNI信息在复用连接时丢失，导致服务器无法提取SNI触发内部错误。不需要重建WebClient，通过以下配置即可解决：

1. 配置支持会话复用的SSLContext #

确保SSLContext在创建时启用会话复用，并且客户端证书能在会话续期时被正确使用：

@Bean
public SSLContext sslContext() throws Exception {
    // 加载客户端证书密钥库
    KeyStore clientKeyStore = KeyStore.getInstance("PKCS12");
    try (InputStream keyStoreStream = new FileInputStream("path/to/client-keystore.p12")) {
        clientKeyStore.load(keyStoreStream, "keystore-password".toCharArray());
    }

    // 加载信任库（信任服务器证书）
    KeyStore trustStore = KeyStore.getInstance("JKS");
    try (InputStream trustStoreStream = new FileInputStream("path/to/truststore.jks")) {
        trustStore.load(trustStoreStream, "truststore-password".toCharArray());
    }

    // 初始化密钥管理器和信任管理器
    KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
    keyManagerFactory.init(clientKeyStore, "key-password".toCharArray());

    TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    trustManagerFactory.init(trustStore);

    // 创建SSLContext，启用TLSv1.2+，支持会话复用
    SSLContext sslContext = SSLContext.getInstance("TLSv1.3");
    sslContext.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), new SecureRandom());
    return sslContext;
}

2. 调整Reactor Netty连接池参数，避免复用失效连接 #

设置连接的空闲超时时间（短于服务器的超时时间，比如9分钟），同时配置连接池的最大存活时间，确保不会复用已经被服务器标记为失效的连接：

@Bean
public WebClient webClient(SSLContext sslContext) {
    HttpClient httpClient = HttpClient.create()
            // 配置SSL上下文
            .secure(sslSpec -> sslSpec.sslContext(sslContext)
                    // 强制每个连接都携带SNI信息，即使复用连接
                    .sniProvider(SniProvider.fromHostname()))
            // 配置连接池
            .poolResources(PoolResources.fixed("tls-pool", 10)
                    // 连接空闲超时：设置为比服务器超时短（比如540秒=9分钟）
                    .maxIdleTime(Duration.ofSeconds(540))
                    // 连接最大存活时间
                    .maxLifeTime(Duration.ofMinutes(30)))
            // 配置TCP参数，启用保活
            .option(ChannelOption.SO_KEEPALIVE, true);

    return WebClient.builder()
            .clientConnector(new ReactorClientHttpConnector(httpClient))
            .build();
}

3. 关键配置说明 #

• SNI强制配置：sniProvider(SniProvider.fromHostname())确保即使在复用连接时，客户端也会重新发送正确的SNI信息，解决服务器端TLSClientHelloExtractor的提取错误。
• 连接池超时设置：将maxIdleTime设为比服务器的连接超时时间短（比如服务器是10分钟，客户端设9分钟），避免客户端尝试复用已经被服务器关闭的连接。
• SSLContext版本：使用TLSv1.3可以更好地支持会话复用和重认证，若服务器不支持则降级为TLSv1.2。

额外排查点 #

• 检查服务器端的keepalive_timeout（Tomcat对应connectionTimeout和keepAliveTimeout），确保客户端的maxIdleTime小于该值。
• 确认客户端证书的有效期和密钥库配置正确，避免证书在会话续期时无法加载。

内容的提问来源于stack exchange，提问作者Jonathan