使用IBM DB2 SSL专用属性连接Z/OS失败，报错-4499/08001

针对你遇到的用IBM专用SSL属性替代系统属性时出现的handshake_failure或连接重置问题，结合DB2 JCC 11.5.8.0版本的特性，提供以下排查和解决步骤：

1. 消除系统属性优先级冲突 #

DB2 JCC驱动中，系统属性javax.net.ssl.*的优先级高于IBM专用SSL属性。如果之前通过System.setProperty设置过这些系统属性，即使配置了专用属性，驱动仍会优先使用系统属性。解决方法：
在初始化HikariCP之前，清除相关系统属性：

System.clearProperty("javax.net.ssl.trustStore");
System.clearProperty("javax.net.ssl.trustStorePassword");
System.clearProperty("javax.net.ssl.keyStore");
System.clearProperty("javax.net.ssl.keyStorePassword");

2. 正确配置IBM专用SSL属性 #

DB2 JCC 11.5.8.0确实支持sslTrustStoreLocation等专用属性，需注意配置规范：

• 属性名大小写敏感：严格使用sslTrustStoreLocation、sslTrustStorePassword、sslKeyStoreLocation、sslKeyStorePassword，不要拼写错误。
• 二选一配置方式：不要同时在JDBC URL和addDataSourceProperty中重复设置属性，选一种即可：

方式一：通过JDBC URL配置 #

String jdbcUrl = "jdbc:db2://[hostname]:[port]/[location]:sslConnection=true;" +
                "sslTrustStoreLocation=/绝对路径/truststore.jks;" +
                "sslTrustStorePassword=信任库密码;" +
                "sslKeyStoreLocation=/绝对路径/keystore.jks;" +
                "sslKeyStorePassword=密钥库密码;";
HikariConfig config = new HikariConfig();
config.setJdbcUrl(jdbcUrl);
// 其他Hikari配置（用户名、密码等）

方式二：通过HikariCP的addDataSourceProperty配置（推荐） #

HikariConfig config = new HikariConfig();
config.setJdbcUrl("jdbc:db2://[hostname]:[port]/[location]");
config.addDataSourceProperty("sslConnection", "true");
config.addDataSourceProperty("sslTrustStoreLocation", "/绝对路径/truststore.jks");
config.addDataSourceProperty("sslTrustStorePassword", "信任库密码");
config.addDataSourceProperty("sslKeyStoreLocation", "/绝对路径/keystore.jks");
config.addDataSourceProperty("sslKeyStorePassword", "密钥库密码");
// 其他Hikari配置（用户名、密码等）

3. 验证证书文件有效性 #

握手失败大概率和证书有关，需检查：

• 路径与权限：确保证书文件是绝对路径，且应用进程有读取权限（比如Linux下避免用root专属路径）。
• 证书格式：如果使用PKCS12格式的证书，需额外指定存储类型属性：

config.addDataSourceProperty("sslTrustStoreType", "PKCS12");
config.addDataSourceProperty("sslKeyStoreType", "PKCS12");

• 证书内容：用keytool命令验证信任库是否包含DB2服务器证书，密钥库是否包含客户端证书（双向SSL场景）：

# 查看信任库内容
keytool -list -v -keystore truststore.jks
# 查看密钥库内容
keytool -list -v -keystore keystore.jks

4. 强制指定SSL协议版本 #

部分DB2 for z/OS环境仅支持特定SSL协议（如TLSv1.2），可通过sslProtocol属性强制指定：

config.addDataSourceProperty("sslProtocol", "TLSv1.2");

同时确认JVM未禁用该协议（Java 8默认启用TLSv1.2，Java 11+需检查JVM参数）。

5. 启用调试日志定位根因 #

添加以下JVM参数，获取SSL握手和DB2驱动的详细日志，帮助定位具体失败点：

-Djavax.net.debug=ssl,handshake
-Dcom.ibm.db2.jcc.DB2BaseDataSource.traceLevel=-1

日志会显示证书交换、协议协商的细节，比如是否是证书不被信任、协议版本不兼容等问题。

6. 检查DB2服务器端SSL配置 #

• 确认DB2服务器是否要求双向SSL：如果不需要，只需配置信任库，无需密钥库；如果需要，确保客户端密钥库的证书已被服务器信任。
• 确认服务器SSL端口是否正确，且SSL服务已启用。

内容的提问来源于stack exchange，提问作者Crimshot