Spring RestTemplate调用USPS服务SSL握手失败排查求助

核心问题 #

升级Broadleaf Commerce、Spring Boot及Java版本后，应用通过RestTemplate调用USPS地址验证服务时出现SSL握手失败，但本地/服务器cURL请求均正常，服务器Docker化应用也失败（本地Docker正常）。WireShark抓包显示应用的Change Cipher请求无响应，cURL则正常。

针对性排查方向 #

1. 检查RestTemplate的SSL上下文配置差异 #

升级后Spring Boot的默认SSL配置可能变更，需确认：

• 代码中是否硬编码了旧版本的信任证书或TLS配置，未同步升级
• RestTemplate是否复用了容器SSL上下文，还是单独初始化了一套
• 可尝试显式构建包含系统默认信任库的SSLContext注入RestTemplate：

@Bean
public RestTemplate restTemplate() throws NoSuchAlgorithmException, KeyStoreException, KeyManagementException {
    SSLContext sslContext = SSLContext.getDefault();
    HttpClient httpClient = HttpClientBuilder.create().setSSLContext(sslContext).build();
    HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory(httpClient);
    return new RestTemplate(factory);
}

2. 验证JVM信任库的完整性 #

服务器Docker环境中JVM默认信任库（cacerts）可能存在缺失：

• 对比本地Docker和服务器Docker中$JAVA_HOME/jre/lib/security/cacerts的证书列表，执行命令：

keytool -list -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit | grep -i usps

• 确认服务器Docker是否正确挂载了主机系统CA证书，或构建镜像时是否遗漏USPS根证书导入

3. 排查TLS 1.3的扩展支持差异 #

USPS使用TLS 1.3，不同JVM版本对TLS扩展的支持有差异：

• 添加JVM参数打印TLS调试日志，对比本地和服务器的握手流程：

-Djavax.net.debug=ssl:handshake:verbose

• 重点查看Client Hello中的扩展字段（如supported_groups、signature_algorithms）是否与cURL一致
• 尝试强制JVM使用特定TLS 1.3 cipher suite：

-Djdk.tls.client.cipherSuites=TLS_AES_256_GCM_SHA384,TLS_CHACHA20_POLY1305_SHA256,TLS_AES_128_GCM_SHA256

4. 检查Docker环境的网络参数差异 #

服务器Docker的网络配置可能存在隐式限制：

• 对比本地和服务器Docker的启动参数，是否启用了--network=host或自定义网络策略
• 检查服务器Docker是否禁用了某些网络协议或端口，导致TLS握手包被拦截
• 在服务器Docker中直接运行openssl s_client -connect api.usps.com:443 -tls1_3，查看握手是否成功并与cURL结果对比

5. 排查Spring Boot/Broadleaf的自动配置干扰 #

升级后框架自动配置可能覆盖RestTemplate的SSL设置：

• 检查application.properties/application.yml中新增的SSL相关配置（如server.ssl.*或spring.ssl.*）是否影响客户端RestTemplate
• 禁用Spring Boot自动SSL配置，显式声明RestTemplate客户端配置
• 验证Broadleaf Commerce是否有自定义HTTP客户端配置，升级后未兼容新Spring Boot版本

6. 验证USPS服务的TLS握手要求 #

USPS可能对TLS握手有特定要求：

• 对比cURL和应用的Client Hello包（WireShark过滤tls.handshake.type == 1），检查版本、cipher suite、扩展字段的差异
• 确认应用是否发送了正确的SNI（Server Name Indication）字段，TLS 1.3中SNI为必填项，需验证RestTemplate默认是否启用
• 检查USPS是否要求特定证书链，应用是否正确发送了客户端证书（若需要）

内容的提问来源于stack exchange，提问作者Marquee