Spring Boot 3+Java17下如何通过命令行禁用SSL证书验证？

问题场景 #

开发Spring Boot 3应用调用Svix Webhook时，核心代码如下：

Svix svix = new Svix("TOKEN");
try {
    svix.getMessage().create("APP_ID",
            new MessageIn()
                    .eventType(rd.getEventType())
                    .payload(ow.writeValueAsString(payload)));
} catch (Exception e){
    System.out.println(e.getMessage());
}

运行时抛出SSL握手错误：

javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

处于企业网络环境，推测是证书信任问题（Postman中禁用SSL验证可解决同类问题），已尝试以下JVM参数但均无效：

• -Djdk.internal.httpclient.disableHostnameVerification=true
• -Dcom.sun.security.enableAIAcaIssuers=true
• -Dtrust_all_cert=true
• -Dcom.sun.net.ssl.checkRevocation=false
  需要开发环境下禁用SSL验证的可行方案。

可行解决方案 #

方案1：自定义Svix客户端配置（推荐，仅针对Svix请求生效） #

Svix Java SDK默认使用OkHttp作为HTTP客户端，之前的JVM参数针对JDK内置HttpClient，因此无效。可以通过自定义OkHttp客户端，跳过SSL验证和主机名校验，仅作用于Svix请求：

import okhttp3.OkHttpClient;
import com.svix.Svix;
import com.svix.SvixOptions;
import com.svix.http.OkHttpHttpClient;
import javax.net.ssl.*;
import java.security.SecureRandom;
import java.security.cert.X509Certificate;

// 构建信任所有证书的SSL上下文
SSLContext sslContext;
try {
    sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, new TrustManager[]{new X509TrustManager() {
        @Override
        public void checkClientTrusted(X509Certificate[] chain, String authType) {}
        @Override
        public void checkServerTrusted(X509Certificate[] chain, String authType) {}
        @Override
        public X509Certificate[] getAcceptedIssuers() {
            return new X509Certificate[0];
        }
    }}, new SecureRandom());
} catch (Exception e) {
    throw new RuntimeException("初始化SSL上下文失败", e);
}

// 构建跳过主机名验证的OkHttpClient
OkHttpClient okHttpClient = new OkHttpClient.Builder()
        .sslSocketFactory(sslContext.getSocketFactory(), (X509TrustManager) sslContext.getTrustManagers()[0])
        .hostnameVerifier((hostname, session) -> true)
        .build();

// 用自定义客户端初始化Svix
Svix svix = new Svix("TOKEN", new SvixOptions()
        .httpClient(new OkHttpHttpClient(okHttpClient)));

// 原有调用逻辑保持不变
try {
    svix.getMessage().create("APP_ID",
            new MessageIn()
                    .eventType(rd.getEventType())
                    .payload(ow.writeValueAsString(payload)));
} catch (Exception e){
    System.out.println(e.getMessage());
}

方案2：全局禁用SSL验证（不推荐，影响整个应用） #

如果需要通过JVM参数全局禁用，需先创建一个空的JKS信任库，再添加以下启动参数：

-Djavax.net.ssl.trustStoreType=JKS
-Djavax.net.ssl.trustStore=/path/to/empty-truststore.jks
-Djavax.net.ssl.trustStorePassword=changeit

创建空信任库的命令：

keytool -genkey -alias dummy -keystore empty-truststore.jks -storepass changeit -keypass changeit -dname "CN=Dummy"

注意：该方案会让应用所有HTTP请求跳过SSL验证，风险较高，仅临时用于开发环境。

生产环境替代方案 #

禁用SSL验证并非长久之计，企业环境下建议导出代理/企业CA的根证书，导入到Java系统信任库cacerts中，命令如下：

keytool -importcert -file /path/to/enterprise-root.crt -alias enterprise-root -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit

输入yes确认导入即可，这样既能解决证书信任问题，又能保证通信安全。

内容的提问来源于stack exchange，提问作者Sushant