Java客户端用连接池时MTLS无法从密钥库选取证书的问题

核心原因 #

当你使用自定义的PoolingNHttpClientConnectionManager并通过httpClientBuilder.setConnectionManager()设置时，builder不会自动将你配置的SSLContext关联到这个连接管理器上。连接池中的连接默认没有加载客户端证书的SSL配置，导致TLS握手时客户端无法向Nginx发送证书，触发403错误。而不设置自定义连接管理器时，builder会自动创建带有SSLContext配置的默认连接管理器，因此能正常完成MTLS握手。

解决步骤 #

需要手动将SSLContext通过SSLIOSessionStrategy注册到连接管理器的HTTPS协议策略中，确保连接池内的所有连接都使用正确的SSL配置。

修改后的完整代码 #

public static CloseableHttpAsyncClient getClient() throws Exception {

    // 先构建SSL上下文
    // 这里的keystore和truststore是已初始化的java.security.KeyStore对象
    SSLContext sslContext = SSLContexts.custom()
            .loadKeyMaterial(keystore, "mypass".toCharArray(), (aliases, socket) -> "mtlsserver")
            .loadTrustMaterial(truststore, null)
            .build();

    // 创建包含SSL策略的协议注册表
    Registry<SchemeIOSessionStrategy> schemeRegistry = RegistryBuilder.<SchemeIOSessionStrategy>create()
            .register("https", new SSLIOSessionStrategy(sslContext, new DefaultHostnameVerifier()))
            .build();

    // 初始化带SSL策略的连接池管理器
    ConnectingIOReactor ioReactor = new DefaultConnectingIOReactor();
    PoolingNHttpClientConnectionManager connectionManager = new PoolingNHttpClientConnectionManager(
            ioReactor,
            null,
            schemeRegistry,
            null
    );
    connectionManager.setMaxTotal(20);
    connectionManager.setDefaultMaxPerRoute(20);

    // 请求配置
    RequestConfig config = RequestConfig.custom()
        .setConnectTimeout(300).setConnectionRequestTimeout(300)
        .setSocketTimeout(300).setRedirectsEnabled(false)
        .setRelativeRedirectsAllowed(false)
        .build();

    // 构建客户端
    HttpAsyncClientBuilder httpClientBuilder = HttpAsyncClients.custom()
            .setDefaultRequestConfig(config)
            .setSSLHostnameVerifier(new DefaultHostnameVerifier());

    // 无需再调用setSSLContext，因为连接管理器已关联SSL配置
    // httpClientBuilder.setSSLContext(sslContext);

    httpClientBuilder.setConnectionManager(connectionManager);
    client = httpClientBuilder.build();
    client.start();
    return client;
}

关键说明 #

• SSLIOSessionStrategy负责将你的SSLContext绑定到HTTPS协议上，连接池中的每个连接都会使用这个策略进行TLS握手，包括加载并发送客户端证书。
• 自定义连接管理器时，必须手动配置SSL策略，否则连接池会使用默认的无客户端证书的SSL配置。

内容的提问来源于stack exchange，提问作者Thamindu DJ