Java1.6+WebSphere调用OAuth2.0 API遇TLS错误求解决方案

核心问题分析 #

你遇到的Received fatal alert: internal_error错误，根源有两点：

1. 请求构造逻辑错误：使用buildQueryMessage()生成URL参数形式的请求后，又手动设置请求体，导致请求格式混乱，服务器无法解析。
2. TLSv1.2适配问题：Java 1.6原生不支持TLSv1.2，WebSphere依赖IBM JSSE实现，但当前SSL配置的密码套件、协议版本可能不匹配服务器要求。

具体修复方案 #

1. 修正OAuth2请求构造 #

Client Credentials模式下，正确的POST请求应将参数放在application/x-www-form-urlencoded格式的请求体中，修改代码如下：

// 移除手动设置Security属性的代码，WebSphere会自动管理IBM JSSE实现
OAuthClient client = new OAuthClient(new URLConnectionClient());

// 构建表单格式的请求，替代URL参数形式
OAuthClientRequest request = OAuthClientRequest.tokenLocation(TOKEN_REQUEST_URL)
        .setGrantType(GrantType.CLIENT_CREDENTIALS)
        .setClientId(CLIENT_ID)
        .setClientSecret(CLIENT_SECRET)
        .buildBodyMessage(); // 关键：用buildBodyMessage替代buildQueryMessage

// 无需手动设置request.setBody，框架会自动处理请求体格式
String token = client.accessToken(request, OAuth.HttpMethod.POST, OAuthJSONAccessTokenResponse.class)
        .getAccessToken();
System.out.println(token);

2. 强制WebSphere启用TLSv1.2 #

Java 1.6默认不开启TLSv1.2，需通过两种方式配置：

• JVM启动参数：在WebSphere的JVM参数中添加：

  -Dcom.ibm.jsse2.overrideDefaultTLS=true
  -Dhttps.protocols=TLSv1.2
  -Dcom.ibm.websphere.ssl.protocol=TLSv1.2
  

• 控制台配置：进入WebSphere控制台 → 安全 → SSL证书和密钥管理 → SSL配置 → 目标SSL配置 → 质量保护(QoP)设置 → 将协议设置为TLSv1.2。

3. 调整密码套件匹配服务器要求 #

从ClientHello日志看，当前使用的都是SHA-1旧套件，多数现代服务器已不再支持。需更新密码套件：

• 控制台配置：进入WebSphere控制台 → 安全 → SSL证书和密钥管理 → SSL配置 → 目标SSL配置 → 质量保护(QoP)设置 → 选择包含SHA-256/384的套件组（如IBMJCEFIPS）。
• JVM参数指定：

  -Dcom.ibm.jsse2.cipherSuite=SSL_RSA_WITH_AES_128_CBC_SHA256,SSL_RSA_WITH_AES_256_CBC_SHA256,TLS_DHE_RSA_WITH_AES_128_CBC_SHA256
  

4. 备选方案：改用Apache HttpClient #

如果OLTU的URLConnectionClient与IBM JSSE兼容性差，可替换为支持Java 1.6的Apache HttpClient 4.x（如4.5.13版本）：

import org.apache.http.HttpEntity;
import org.apache.http.HttpResponse;
import org.apache.http.client.HttpClient;
import org.apache.http.client.methods.HttpPost;
import org.apache.http.entity.StringEntity;
import org.apache.http.impl.client.DefaultHttpClient;
import org.apache.http.util.EntityUtils;
import com.fasterxml.jackson.databind.JsonNode;
import com.fasterxml.jackson.databind.ObjectMapper;

// 构造符合要求的请求体
String body = String.format("grant_type=client_credentials&client_id=%s&client_secret=%s", 
                           CLIENT_ID, CLIENT_SECRET);

HttpClient client = new DefaultHttpClient();
HttpPost post = new HttpPost(TOKEN_REQUEST_URL);
post.setHeader("Content-Type", "application/x-www-form-urlencoded");
post.setEntity(new StringEntity(body));

// 执行请求并解析令牌
HttpResponse response = client.execute(post);
HttpEntity entity = response.getEntity();
String responseStr = EntityUtils.toString(entity);

ObjectMapper mapper = new ObjectMapper();
JsonNode jsonNode = mapper.readTree(responseStr);
String token = jsonNode.get("access_token").asText();
System.out.println(token);

注：WebSphere默认会优先使用IBM JSSE，无需额外配置HttpClient的SSL实现。

内容的提问来源于stack exchange，提问作者sunny