Java 8下Apache HTTPS客户端连接IIS服务器遇SSL证书链错误

嘿，咱们来拆解下你遇到的这个问题：用Apache CloseableHTTPClient连接本地IIS的TLS1.2时，抛出了javax.net.ssl.SSLHandshakeException: com.ibm.jsse2.util.h: Certificate chaining error。这个错误的核心是IBM JSSE（你应该用的是IBM JVM吧？）没法从服务器证书构建出一条到你JKS信任库中根证书的有效信任路径，哪怕你已经把根、中间、服务器证书都放进了JKS。结合你提到的新证书是SHA1签名的Digicert根证书，我给你梳理几个排查和解决方向：

1. 先检查JKS信任库的配置是否正确 #

很多人会犯一个低级错误：把所有证书都导入JKS，但没区分**信任条目（TrustedCertEntry）**和普通证书条目。你先用keytool命令确认JKS里的证书类型：

keytool -list -v -keystore your_cacert.jks

重点看这两点：

• 你的Digicert Global Root CA必须是TrustedCertEntry类型（也就是被标记为信任锚）
• 中间证书和服务器证书其实不需要放进客户端信任库（浏览器能正常访问，说明IIS已经正确返回了完整的服务器+中间证书链），把它们加进去反而可能干扰IBM JSSE的链验证逻辑

建议你重新创建一个干净的信任库，只导入Digicert的根证书：

# 假设根证书文件是digicert_global_root_ca.crt
keytool -importcert -alias digicert-root -file digicert_global_root_ca.crt -keystore new_truststore.jks -storepass your_secure_password

然后用这个新的信任库配置你的HTTPClient，看看能不能解决问题。

2. 处理SHA1根证书的IBM JVM兼容性问题 #

Digicert的Global Root CA确实有SHA1版本，但IBM JVM在较新的版本里，默认会禁用SHA1签名的根证书作为TLS连接的信任锚（哪怕浏览器认可）。你可以通过两种方式解决：

• 修改JVM安全配置：找到IBM JVM安装目录下的java.security文件（通常在jre/lib/security里），找到jdk.certpath.disabledAlgorithms这一行，把里面的SHA1 jdkCA & usage TLSServer去掉，修改后类似：

  jdk.certpath.disabledAlgorithms=MD2, MD5
  

• 添加启动参数：在启动你的Java程序时添加系统属性，临时禁用这个限制：

  -Dcom.ibm.jsse2.disableSHA1=false
  

3. 确认Apache HTTPClient的SSL配置是否正确 #

确保你正确加载了信任库，并且没有错误的信任策略干扰。比如正确的配置代码应该是这样的：

// 加载信任库
KeyStore trustStore = KeyStore.getInstance("JKS");
try (InputStream is = new FileInputStream("new_truststore.jks")) {
    trustStore.load(is, "your_secure_password".toCharArray());
}

// 构建SSLContext
SSLContext sslContext = SSLContexts.custom()
        .loadTrustMaterial(trustStore, null) // 使用信任库中的证书作为信任锚
        .build();

// 配置HTTPClient
CloseableHttpClient client = HttpClients.custom()
        .setSSLContext(sslContext)
        .setSSLHostnameVerifier(new DefaultHostnameVerifier()) // 生产环境不要用NoopHostnameVerifier
        .build();

注意不要乱用TrustSelfSignedStrategy，除非你是自签证书，否则会跳过正常的链验证逻辑，反而隐藏问题。

4. 额外排查点 #

• 用openssl命令确认IIS返回的证书链是否完整：

  openssl s_client -connect your-iis-server:443 -tls1_2
  

  查看返回的证书链，确保服务器证书→中间证书→Digicert根证书的链条是完整的
• 再次检查新证书的有效期和主体/颁发者字段，确保没有导入错误的证书（比如把旧根证书和新根证书搞混了）

内容的提问来源于stack exchange，提问作者TheJohnDoe