Spring Boot配置MongoDB TLS/SSL连接时遇SSL握手异常求助

问题根源 #

报错PKIX path building failed说明JVM无法信任MongoDB服务器的SSL证书，要么是配置里的证书路径无效，要么是证书未被JVM信任库收录。

解决步骤 #

1. 修正application.yml配置

首先检查并修复MongoDB连接URI的格式和路径问题：

• 移除配置里多余的换行和file字样，确保URI是完整的一行
• 证书路径不能有空格，若有需用引号包裹或转义
• 优先使用绝对路径，或classpath:前缀（如果证书放在src/main/resources目录下）
  修正后的配置示例：

spring:
  data:
    mongodb:
      uri: mongodb://user:Pass@host:37017/DEV?authSource=admin&tls=true&tlsCAFile=/opt/certs/mongodb-ca.pem
      database: DEV

注意：YAML中&不需要转义，直接使用即可。

2. 将证书导入JVM系统信任库

把MongoDB的CA证书导入JDK默认信任库cacerts，让JVM全局信任该证书：

1. 找到JDK安装目录下的cacerts文件，路径通常为$JAVA_HOME/lib/security/cacerts
2. 执行以下keytool命令（默认密码为changeit）：

keytool -importcert -file /path/to/your/mongodb-ca.pem -alias mongodb-ca -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit

• Linux/macOS系统可能需要加sudo提升权限
• Windows需用管理员身份运行命令提示符

3. 使用自定义信任库（不修改系统库）

如果不想修改JVM全局信任库，可以创建自定义信任库并在应用启动时指定：

1. 将PEM证书转换为JKS格式：

keytool -importcert -file mongodb-ca.pem -alias mongodb-ca -keystore mongodb-truststore.jks -storepass your-truststore-password

2. 启动应用时添加JVM参数：

java -jar your-spring-boot-app.jar -Djavax.net.ssl.trustStore=/path/to/mongodb-truststore.jks -Djavax.net.ssl.trustStorePassword=your-truststore-password

4. 代码层面手动配置MongoClient

如果配置文件方式仍未解决，可通过代码手动加载证书并构建MongoClient：

import com.mongodb.ConnectionString;
import com.mongodb.MongoClientSettings;
import com.mongodb.client.MongoClient;
import com.mongodb.client.MongoClients;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
import java.io.FileInputStream;
import java.security.KeyStore;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

@Configuration
public class MongoSSLConfig {

    @Bean
    public MongoClient mongoClient() throws Exception {
        // 加载PEM格式的CA证书
        CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
        X509Certificate caCert = (X509Certificate) certFactory.generateCertificate(
                new FileInputStream("/path/to/mongodb-ca.pem")
        );

        // 初始化信任库
        KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
        trustStore.load(null);
        trustStore.setCertificateEntry("mongodb-ca", caCert);

        // 构建TrustManager
        TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(
                TrustManagerFactory.getDefaultAlgorithm()
        );
        trustManagerFactory.init(trustStore);

        // 创建SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, trustManagerFactory.getTrustManagers(), null);

        // 构建MongoClient配置
        MongoClientSettings settings = MongoClientSettings.builder()
                .applyConnectionString(new ConnectionString(
                        "mongodb://user:Pass@host:37017/DEV?authSource=admin&tls=true"
                ))
                .sslContext(sslContext)
                .build();

        return MongoClients.create(settings);
    }
}

验证 #

完成上述任一操作后，重启Spring Boot应用，检查是否仍有SSL握手错误。若问题依旧，确认：

• 证书文件路径正确且应用有读取权限
• 证书本身未过期且确实是MongoDB服务器使用的CA证书

内容的提问来源于stack exchange，提问作者Aadil