Java 8 SpringBoot强制TLSv1.3时数据库连接异常问题咨询

1. 为何未使用安全连接仍出现该错误？ #

问题源于SQL Server JDBC驱动的默认行为与JVM全局协议限制的冲突：

• 新版Microsoft SQL Server JDBC驱动（9.0及以上）默认会尝试加密数据库连接，即便你没在URL里显式指定encrypt=true。当驱动发起加密连接协商时，会调用JVM允许的TLS协议。
• 你在java.security里全局禁用了TLSv1.0/1.1/1.2，仅保留TLSv1.3，但Java 8对TLSv1.3的支持从update 261才开始，且默认未启用；再加上你的SQL Server可能不支持TLSv1.3，或者JDBC驱动版本不兼容TLSv1.3，导致驱动找不到可用协议，最终抛出错误。

2. 强制应用使用TLSv1.3的正确方式 #

不要全局修改java.security禁用其他协议（会影响数据库、第三方API等组件的正常连接），应该仅针对Jetty的HTTP连接器配置强制使用TLSv1.3，同时处理数据库连接的加密问题：

步骤1：确保Java版本支持TLSv1.3 #

升级Java 8到update 261或更高版本，这是Java 8支持TLSv1.3的最低版本要求。

步骤2：配置Jetty强制使用TLSv1.3 #

在application.properties中添加Jetty SSL专属配置，指定仅启用TLSv1.3：

# 启用SSL
server.ssl.enabled=true
# 密钥库配置（替换为你的实际密钥库信息）
server.ssl.key-store=classpath:keystore.jks
server.ssl.key-store-password=your-keystore-pwd
server.ssl.key-store-type=JKS
# 强制仅使用TLSv1.3
server.ssl.protocol=TLSv1.3
# 可选：指定TLSv1.3兼容的密码套件
server.ssl.ciphers=TLS_AES_256_GCM_SHA384,TLS_CHACHA20_POLY1305_SHA256,TLS_AES_128_GCM_SHA256

步骤3：修复数据库连接问题 #

在JDBC URL中显式添加encrypt=false，强制驱动不使用加密连接，避免协议协商失败：

spring.datasource.url=jdbc:sqlserver://172.20.186.175:1433;Databasename=DB_Jan_2023_new;SendStringParametersAsUnicode=false;encrypt=false

如果后续需要数据库加密连接，需满足两个条件：

• SQL Server已启用TLSv1.3
• 使用支持TLSv1.3的JDBC驱动版本（比如Microsoft SQL Server JDBC驱动10.2及以上）

3. 如何验证应用已切换为使用TLSv1.3？ #

有几种可靠的验证方式：

• OpenSSL工具验证：
  执行命令：

  openssl s_client -connect 你的应用主机:应用端口 -tls1_3
  

  若连接成功，输出内容中会显示Protocol : TLSv1.3，说明应用已启用TLSv1.3。
• Jetty调试日志验证：
  在application.properties中开启Jetty SSL相关的DEBUG日志：

  logging.level.org.eclipse.jetty.server.SslConnection=DEBUG
  

  启动应用后，日志中会打印类似SSL handshake completed: session=SSLSession[host=xxx, port=xxx, protocol=TLSv1.3]的内容。
• 代码内直接获取协议版本：
  在Spring Boot的控制器或过滤器中，通过请求对象获取SSL会话信息：

  @GetMapping("/check-tls-version")
  public String checkTls(HttpServletRequest request) {
      SSLSession sslSession = request.getSession().getSslSession();
      if (sslSession != null) {
          return "当前使用的TLS协议版本：" + sslSession.getProtocol();
      }
      return "未建立SSL连接";
  }
  

  访问该接口，返回TLSv1.3即验证成功。
• 抓包分析：
  使用Wireshark抓取应用端口的流量，查看TLS握手阶段的Client Hello和Server Hello消息，其中会明确标注使用的TLS版本为TLSv1.3。

内容的提问来源于stack exchange，提问作者Sahil