Feign调用服务时PKIX路径验证失败问题求助

一、先排查mockwebserver与feign-okhttp的依赖冲突 #

• 查依赖树：执行mvn dependency:tree命令，查看OkHttp的依赖情况——mockwebserver本身依赖OkHttp，若它和feign-okhttp拉取的OkHttp版本不一致，大概率会引发冲突。
• 排除冲突版本：如果发现mockwebserver引入了不同版本的OkHttp，直接在pom.xml中给mockwebserver添加排除配置：

<dependency>
    <groupId>com.squareup.okhttp3</groupId>
    <artifactId>mockwebserver</artifactId>
    <version>你的版本号</version>
    <scope>test</scope> <!-- 通常mockwebserver仅在测试环境使用，记得添加scope -->
    <exclusions>
        <exclusion>
            <groupId>com.squareup.okhttp3</groupId>
            <artifactId>okhttp</artifactId>
        </exclusion>
    </exclusions>
</dependency>

• 强制统一版本：在pom.xml的dependencyManagement中声明OkHttp的统一版本，确保所有依赖使用同一版本：

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>com.squareup.okhttp3</groupId>
            <artifactId>okhttp</artifactId>
            <version>4.10.0</version> <!-- 选择与你使用的feign-okhttp兼容的版本 -->
        </dependency>
    </dependencies>
</dependencyManagement>

二、解决PKIX证书信任核心问题 #

这个错误本质是JVM不认可bizcore服务的SSL证书，即便依赖冲突解决了，也需要处理证书信任问题：

• 导入证书到JVM全局信任库：
  1. 通过浏览器访问bizcore服务地址，导出证书为.crt格式。
  2. 使用keytool命令将证书导入JVM的cacerts信任库：

keytool -import -alias bizcore-cert -file /你的证书路径/bizcore.crt -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit

• 给Feign配置自定义信任库（避免修改全局JVM配置）：
  编写OkHttpClient配置类，加载自定义信任库：

@Configuration
public class FeignOkHttpConfig {
    @Bean
    public OkHttpClient okHttpClient() throws Exception {
        // 加载自定义信任库文件
        KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
        trustStore.load(new FileInputStream("/你的信任库路径/truststore.jks"), "你的信任库密码".toCharArray());

        SSLContext sslContext = SSLContexts.custom()
                .loadTrustMaterial(trustStore, null)
                .build();

        return new OkHttpClient.Builder()
                .sslSocketFactory(sslContext.getSocketFactory(), new X509TrustManager() {
                    @Override
                    public void checkClientTrusted(X509Certificate[] chain, String authType) {}

                    @Override
                    public void checkServerTrusted(X509Certificate[] chain, String authType) {}

                    @Override
                    public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[0]; }
                })
                .hostnameVerifier((hostname, session) -> true) // 仅测试环境使用，生产环境需严格验证主机名
                .build();
    }
}

• 测试环境临时绕开SSL验证（生产环境绝对禁止使用）：
  若仅为测试需求，可配置Feign跳过SSL验证：

@Configuration
public class FeignSslSkipConfig {
    @Bean
    public Client feignClient() {
        return new Client.Default(
                (SSLSocketFactory) SSLSocketFactory.getDefault(),
                (hostname, session) -> true
        );
    }
}

三、确认Feign客户端配置正确 #

• 给Feign客户端指定对应的配置类：

@FeignClient(name = "bizcore", url = "${bizcore.url}", configuration = FeignOkHttpConfig.class)
public interface BizcoreFeignClient {
    // 你的接口方法
}

• 确保配置类被Spring扫描到，可将其放在主类同包/子包下，或通过@ComponentScan指定扫描路径。

内容的提问来源于stack exchange，提问作者Youssef Merjaneh