容器化Spring Boot微服务部署至Azure Linux虚拟机调用Azure计算机视觉API时遇SSL/TLS握手错误求助

让我们一步步拆解你的问题，并给出针对性的解决方案：

首先，你遇到的java.lang.RuntimeException: javax.net.ssl.SSLKeyException: RSA premaster secret error本质是容器内的JDK环境与Azure VM主机的JDK环境存在差异：

• 当你直接在VM上运行Spring Boot jar时，使用的是主机系统自带的JDK，其信任存储（cacerts）已经预装了Azure服务所需的根证书，且完整支持SSL密钥交换的加密组件；
• 但容器内的JDK是镜像自带的，默认情况下可能缺少Azure服务的根证书，或者使用了精简版JDK（比如部分基础镜像裁剪了Java加密扩展JCE组件），导致无法完成与Azure Computer Vision API的SSL握手。

关于你提到的容器平台无关性：容器的核心优势是打包代码与运行环境，但如果你的镜像没有包含所有必要的依赖（比如特定SSL证书、完整加密组件），就会在不同环境下出现差异。本地运行正常，大概率是因为本地容器间接复用了主机的信任存储，或者你构建镜像时的本地环境已经包含了相关配置。

以下是按优先级排序的解决办法：

1. 替换为完整的官方JDK镜像 #

很多精简版基础镜像（比如openjdk:17-jdk-alpine）可能缺少SSL握手所需的加密组件。建议切换到包含完整JDK的镜像，例如：

# 使用Eclipse Temurin的完整JDK镜像
FROM eclipse-temurin:17-jdk-focal

这类镜像默认包含完整的加密扩展和常用根证书，能避免大部分SSL密钥交换问题。

2. 将VM主机的信任存储挂载到容器 #

既然直接跑jar能正常通信，说明VM主机的cacerts已经包含Azure的根证书。你可以在运行容器时，将主机的信任存储挂载到容器内的对应路径：

# 先确认容器内JDK的cacerts路径，比如/usr/local/openjdk-17/lib/security/cacerts
docker run -v /etc/ssl/certs/java/cacerts:/usr/local/openjdk-17/lib/security/cacerts your-image:tag

注意替换容器内的路径为你实际使用的JDK路径，可以通过docker exec <container-id> echo $JAVA_HOME查看。

3. 在构建镜像时手动添加Azure根证书 #

如果希望镜像完全独立于主机环境，可以在Dockerfile中手动添加Azure服务使用的根证书（比如DigiCert Global Root G2）：

COPY digicert_global_root_g2.crt /tmp/digicert.crt
RUN keytool -importcert -file /tmp/digicert.crt -alias digicertroot -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit -noprompt

你可以从Azure官方文档或DigiCert官网下载对应的证书文件，打包到镜像中。

4. 验证容器网络模式（备选） #

虽然直接跑jar正常，但偶尔容器的网络栈配置可能导致SSL握手异常。可以尝试用主机网络模式运行容器测试：

docker run --network host your-image:tag

如果问题解决，说明容器的DNS解析或网络隔离存在小问题，再针对性调整容器网络配置即可。

内容的提问来源于stack exchange，提问作者abhinav82ify