Java 1.8独立客户端SSL证书更新及连接异常问题求助

一、开发机正常工作的原因 #

是的，你的开发机器大概率已经信任了目标Web应用的SSL证书，因此无需跳过主机名验证就能完成SSL握手：

• 可能是你用浏览器访问过该Web应用，浏览器自动将证书添加到了系统信任库，而Java 1.8默认会优先调用系统信任库（不同系统对应不同存储位置，比如Windows证书存储、macOS钥匙串）；
• 也可能是你之前手动将证书导入到了开发机Java环境的默认信任库（cacerts）中。

二、生产机器的问题根源 #

1. 未设置HostnameVerifier时抛出SSLHandshakeException：核心原因是Java客户端不信任服务器的证书，或者证书主机名与请求域名不匹配（结合开发机正常的情况，前者概率更高）；
2. 设置强制返回true的HostnameVerifier后出现Connection reset：跳过主机名验证并没有解决证书信任问题，握手过程中仍因证书不被信任中断连接。另外注意：SSL 2.0是早已废弃的不安全协议，Java 1.8默认禁用该协议，你可能是笔误将TLS新版本（比如TLS 1.3）写成了SSL2，若为TLS 1.3则需要Java 1.8u261及以上版本才支持。

三、生产机器安装证书的步骤 #

1. 获取目标Web应用的证书 #

两种可行方式：

• 浏览器导出：在开发机用浏览器打开Web应用，点击地址栏锁图标 → 查看证书 → 详细信息 → 复制到文件，选择Base64编码的X.509(.CER)格式保存为webapp-cert.cer；
• keytool命令获取：在生产/开发机执行以下命令，替换your-webapp-domain和port为实际域名与端口：

  keytool -printcert -rfc -sslserver your-webapp-domain:port > webapp-cert.cer
  

2. 导入证书到Java信任库 #

找到生产机器Java 1.8的默认信任库路径：

• Linux/macOS：$JAVA_HOME/jre/lib/security/cacerts
• Windows：%JAVA_HOME%\jre\lib\security\cacerts

执行导入命令（默认密码为changeit，若修改过请用实际密码）：

keytool -importcert -alias webapp-cert -file webapp-cert.cer -keystore $JAVA_HOME/jre/lib/security/cacerts

输入密码后，输入y确认信任该证书即可。

3. 验证证书导入结果 #

执行以下命令查看信任库中的目标证书：

keytool -list -alias webapp-cert -keystore $JAVA_HOME/jre/lib/security/cacerts

若能正常显示证书信息，说明导入成功。

四、额外注意事项 #

• 若Web应用实际启用的是TLS 1.3，且生产机器Java 1.8版本低于u261，需添加JVM参数启用支持：-Djdk.tls.client.protocols=TLSv1.3,TLSv1.2；
• 请勿长期使用强制返回true的HostnameVerifier，这会引入安全风险，证书导入成功后请移除该代码。

内容的提问来源于stack exchange，提问作者Lucio Menci