如何在Java版Apache Arrow FlightClient中启用TLS？

Apache Arrow Java v11.0.0的FlightClient.Builder提供了若干与构建启用TLS的客户端相关的方法，但文档描述不够详细，很多开发者不清楚和FlightServer建立TLS连接时需要用到哪些方法，是否需要全部使用、有没有冗余以及它们的关联。以下是这些方法的详细拆解：

各方法的作用与适用场景 #

• useTls()
  这是启用TLS加密的核心开关，必须调用该方法才能让客户端使用TLS协议连接服务器。如果不调用，后续所有TLS相关配置都会失效。

• verifyServer(boolean verifyServer)
  控制客户端是否验证服务器证书的合法性。默认应为true（符合TLS安全规范），若设为false会跳过证书验证，仅适合测试环境，生产环境禁用此配置（会暴露中间人攻击风险）。
  关联逻辑：开启验证时，客户端需要信任服务器的证书，此时需配合trustedCertificates方法使用。

• trustedCertificates(InputStream stream)
  加载客户端信任的CA证书或服务器自签名证书。当服务器使用自定义CA签发的证书或自签名证书时，必须通过此方法导入对应证书，否则客户端验证服务器证书时会失败。
  注意：若服务器使用公共CA（如Let's Encrypt）签发的证书，JVM默认信任库已包含这些CA证书，无需调用此方法。

• clientCertificate(InputStream clientCertificate, InputStream clientKey)
  仅用于双向TLS（mTLS）场景：当服务器要求客户端提供证书验证身份时，需调用此方法传入客户端证书和私钥。若服务器仅做单向验证（只验证自身身份，不要求客户端提供证书），则无需调用。

• overrideHostname(String hostname)
  当客户端连接的主机名（如IP地址）与服务器证书上的主机名不一致时，可通过此方法指定证书验证时匹配的主机名。正常场景（连接主机名与证书主机名一致）下无需调用。

核心问题解答 #

是否需要使用所有方法？ #

不需要，需根据实际TLS场景选择：

1. 基础单向TLS（仅验证服务器）：仅需useTls() + （自定义/自签名证书场景加trustedCertificates()，公共CA场景可省略），verifyServer(true)默认已开启，可省略。
2. 双向TLS（mTLS）：在基础单向TLS配置的基础上，额外调用clientCertificate()。
3. 主机名不匹配的特殊场景：在上述配置基础上再加overrideHostname()。

是否存在冗余？ #

不存在冗余，每个方法对应TLS流程中的不同环节，各司其职，覆盖了从启用加密、证书验证到双向认证、主机名匹配等全场景需求。

内容的提问来源于stack exchange，提问作者c_sagan