使用RestTemplate调用HTTPS接口时遇SSLException问题求助

异常信息 #

org.springframework.web.client.ResourceAccessException: I/O error on GET request for https://XXXXXXXXXXXXXX/public/act/check/GetPostingStatus: Connection reset; nested exception is javax.net.ssl.SSLException: Connection reset

排查与解决方向 #

• 验证信任库是否真正生效
  虽然加载步骤执行正常，但要确认系统属性或RestTemplate的SSL上下文是否正确应用：

  • 调用前打印System.getProperty("javax.net.ssl.trustStore")和javax.net.ssl.trustStorePassword，确认路径、密码正确，且信任库包含目标端点的CA证书。
  • 注意：如果RestTemplate使用了自定义ClientHttpRequestFactory（比如HttpClient/OkHttp实现），系统属性设置的信任库不会生效，需要单独给该Factory配置SSL上下文。

• 检查TLS版本兼容性
  目标端点可能只支持高版本TLS（如TLS 1.2+），而JVM默认版本过低，可强制指定TLS版本：

  SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
  sslContext.init(null, null, new SecureRandom());
  HttpClient httpClient = HttpClientBuilder.create().setSSLContext(sslContext).build();
  HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory(httpClient);
  RestTemplate restTemplate = new RestTemplate(factory);
  

• 排除非SSL层面的连接问题
  连接重置不一定是SSL证书问题，也可能是：

  • 目标端点防火墙/安全组拦截了请求IP
  • 网络波动或代理配置错误（如果使用代理）
  • 目标服务临时过载或不可用
    先用curl、Postman测试同一端点，确认网络层面是否通畅。

• 直接在RestTemplate中配置SSL上下文
  依赖系统属性加载信任库容易被其他代码覆盖，建议直接给RestTemplate配置自定义SSL上下文：

  // 从GCP存储桶读取信任库流（替换为你的实际读取逻辑）
  InputStream trustStoreStream = ...;
  KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
  trustStore.load(trustStoreStream, "你的信任库密码".toCharArray());
  
  TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
  trustManagerFactory.init(trustStore);
  
  SSLContext sslContext = SSLContext.getInstance("TLS");
  sslContext.init(null, trustManagerFactory.getTrustManagers(), new SecureRandom());
  
  HttpClient httpClient = HttpClientBuilder.create()
          .setSSLContext(sslContext)
          .build();
  
  RestTemplate restTemplate = new RestTemplate(new HttpComponentsClientHttpRequestFactory(httpClient));
  

• 启用SSL调试日志定位问题
  添加JVM启动参数-Djavax.net.debug=ssl，打印完整SSL握手日志，查看握手过程中具体失败环节（证书验证、TLS协商等）。

内容的提问来源于stack exchange，提问作者Siddharth