如何让服务器上所有Java运行时使用操作系统CA证书链？

一、直接让Java优先使用系统证书存储（推荐） #

从Java 8u101版本开始，Oracle/OpenJDK提供了系统属性，可让Java直接读取操作系统的根证书存储，无需手动合并cacerts文件：

• 启动Java程序时添加以下参数：

  -Djavax.net.ssl.trustStore=NONE -Djavax.net.ssl.trustStoreType=Linux-MY
  

  在RHEL系统中，该参数会让Java自动读取/etc/pki/ca-trust/extracted/java/cacerts——这是由yum update ca-certificates维护的统一Java格式证书库，和系统证书源完全同步。

二、全局强制执行配置（覆盖所有Java运行时） #

如果要让服务器上所有Java程序默认启用该配置，可通过两种方式实现：

1. 设置全局环境变量
   在RHEL的/etc/profile.d/java.sh文件中添加：

   export JAVA_TOOL_OPTIONS="-Djavax.net.ssl.trustStore=NONE -Djavax.net.ssl.trustStoreType=Linux-MY"
   

   保存后，所有通过Shell启动的Java程序（如命令行运行的Jar、Tomcat等）会自动加载该参数。若服务由systemd管理，需单独配置环境变量。

2. 配置systemd服务
   针对systemd管理的Java服务（如Tomcat），编辑其服务文件（例如/etc/systemd/system/tomcat.service），在[Service]段添加：

   Environment="JAVA_TOOL_OPTIONS=-Djavax.net.ssl.trustStore=NONE -Djavax.net.ssl.trustStoreType=Linux-MY"
   

   执行以下命令生效：

   systemctl daemon-reload && systemctl restart tomcat
   

三、兼容旧版Java：合并系统证书到Java cacerts #

若你的Java版本低于8u101，不支持直接读取系统证书存储，可通过以下方式合并证书：

1. 导出系统证书链到临时文件：

   trust extract --format=java-cacerts --filter=ca-anchors --purpose=server-auth /tmp/merged_cacerts
   

2. 合并到Java的cacerts（默认密码为changeit）：

   keytool -importkeystore -srckeystore /tmp/merged_cacerts -destkeystore $JAVA_HOME/lib/security/cacerts -srcstorepass changeit -deststorepass changeit
   

   若服务器存在多个Java版本，可通过软链接统一指向系统维护的证书库，避免重复操作：

   rm $JAVA_HOME/lib/security/cacerts
   ln -s /etc/pki/ca-trust/extracted/java/cacerts $JAVA_HOME/lib/security/cacerts
   

   后续执行yum update ca-certificates时，Java的证书库会自动同步更新。

四、验证配置有效性 #

可通过以下简单Java程序验证是否能识别系统新增的内部CA：

import javax.net.ssl.HttpsURLConnection;
import java.net.URL;

public class CertTest {
    public static void main(String[] args) throws Exception {
        URL url = new URL("https://你的内部服务域名.com");
        HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
        conn.connect();
        System.out.println("连接成功，响应码：" + conn.getResponseCode());
        conn.disconnect();
    }
}

编译运行后，若能正常输出响应码，说明证书配置生效。

内容的提问来源于stack exchange，提问作者user2958456