Linux环境Spring Boot指定Cipher不被SSL引擎支持问题求助

• 验证JDK版本及JSSE配置差异
  Spring Boot依赖JDK自带的JSSE实现处理SSL/TLS，而非直接调用系统OpenSSL。需对比DEV和TEST环境的JDK版本，检查JDK安装目录下conf/security/java.security文件中的jdk.tls.disabledAlgorithms、jdk.certpath.disabledAlgorithms配置项，确认TEST环境是否禁用了配置中指定的Cipher套件。同时执行keytool -list -ciphers命令，查看JDK实际支持的完整Cipher列表，对比配置中的字符串是否完全匹配。

• 修正OpenSSL版本检测命令，确认真实TLS协议支持
  原命令openssl ciphers -v | awk '{print $s}' | sort | uniq存在语法错误（$s应为$2），导致输出异常。执行修正后的命令：

  openssl ciphers -v | awk '{print $2}' | sort -u
  

  确认TEST环境实际支持的TLS协议版本，排查是否存在协议版本识别错误或缺失（比如TLSv1.2被误显示为"2"）。

• 检查Spring Boot Cipher配置字符串的兼容性
  不同JDK/OpenSSL版本对Cipher命名格式可能存在差异（如JSSE命名与OpenSSL命名不完全一致）。需确保配置文件中指定的Cipher字符串与TEST环境JDK支持的命名完全匹配，避免因命名不兼容导致套件无法识别，触发None of the [ciphers] specified are supported by the SSL engine错误。

• 排查系统级SSL配置干扰
  检查TEST环境的/etc/ssl/openssl.cnf配置文件，对比DEV环境的差异，重点关注CipherSuite、MinProtocol、MaxProtocol等全局SSL配置项。即使恢复了OpenSSL版本，若配置文件未同步恢复，可能会强制限制可用的Cipher套件或TLS协议，导致与DEV环境行为不一致。

• 启用Spring Boot SSL调试日志定位握手细节
  在TEST环境的Spring Boot启动参数中添加：

  -Djavax.net.debug=ssl,handshake
  

  启动服务后查看日志，日志会详细输出SSL握手过程中客户端与服务器协商的Cipher套件列表、可用套件列表及失败原因，直接定位配置的Cipher不被支持或协商失败的具体环节。

• 再次确认证书与Cipher的算法匹配性
  虽然已排查证书无问题，但需再次验证证书的公钥算法是否与配置的Cipher套件兼容。执行以下命令查看证书公钥类型：

  openssl x509 -in <证书文件路径> -text -noout | grep "Public Key Algorithm"
  

  若证书为EC密钥类型，配置中ECDHE-RSA-*类的Cipher套件将无法匹配，需调整配置或确认证书密钥类型一致性。

内容的提问来源于stack exchange，提问作者Allan B.