如何配置Spring Boot应用与MongoDB实例的TLS加密连接？

我之前也碰到过几乎一模一样的场景：命令行能正常通过TLS连MongoDB，但Spring Boot应用死活连不上。核心问题往往是Spring Boot的Mongo客户端没正确启用SSL，或者信任库的配置没完全到位。结合你的情况，给你一步步的解决方案：

1. 先确认证书导入是否正确 #

你已经用keytool把证书加到信任库了，但得确保导入过程没出错。可以用下面的命令验证信任库是否包含目标证书：

keytool -list -keystore src/main/resources/truststore/trustedcerts.jks -alias mongodb-cert

如果提示找不到别名，说明导入时的alias不对，重新导入一次：

keytool -importcert -file /path/to/my-self-signed-cert.pem -keystore trustedcerts.jks -alias mongodb-cert

记住这个命令里设置的信任库密码，后面配置必须和它完全一致。

2. 正确配置Spring Boot的MongoDB连接属性 #

只配置javax.net.ssl.trustStore是不够的，还要告诉Spring Boot的Mongo客户端启用SSL，同时指定信任库密码。这里分两种配置方式：

方式一：用完整连接字符串配置 #

在application.yml里直接写包含SSL参数的Mongo连接字符串，同时补充SSL系统属性：

spring:
  data:
    mongodb:
      uri: mongodb://<用户名>:<密码>@<Docker主机IP>:27017/<数据库名>?ssl=true&sslInvalidHostNameAllowed=true

javax:
  net:
    ssl:
      trustStore: classpath:truststore/trustedcerts.jks
      trustStorePassword: <你的信任库密码>

• ssl=true：强制启用SSL连接
• sslInvalidHostNameAllowed=true：因为是自签名证书，证书的CN（通用名）可能和Docker容器的主机名/IP不匹配，这个参数允许跳过主机名校验（生产环境建议生成匹配主机名的证书，不要开这个）

方式二：拆分属性配置 #

如果不想把所有参数堆在URI里，可以拆分配置：

spring:
  data:
    mongodb:
      host: <Docker主机IP>
      port: 27017
      database: <数据库名>
      username: <用户名>
      password: <密码>
      ssl: true
      ssl-invalid-host-name-allowed: true

javax:
  net:
    ssl:
      trustStore: classpath:truststore/trustedcerts.jks
      trustStorePassword: <你的信任库密码>

3. 自定义MongoClient（自动配置失效时用） #

有时候自动配置的MongoClient会忽略一些SSL参数，这时候可以手动创建MongoClient，精准控制SSL上下文：

import com.mongodb.client.MongoClients;
import com.mongodb.client.MongoClient;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.data.mongodb.core.MongoTemplate;
import com.mongodb.MongoClientSettings;
import com.mongodb.ConnectionString;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
import java.io.FileInputStream;
import java.security.KeyStore;

@Configuration
public class MongoSslConfig {

    @Value("${javax.net.ssl.trustStore}")
    private String trustStorePath;

    @Value("${javax.net.ssl.trustStorePassword}")
    private String trustStorePassword;

    @Value("${spring.data.mongodb.uri}")
    private String mongoUri;

    @Bean
    public MongoClient mongoClient() throws Exception {
        // 加载信任库
        KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
        keyStore.load(new FileInputStream(trustStorePath), trustStorePassword.toCharArray());

        TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        trustManagerFactory.init(keyStore);

        // 创建SSL上下文
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, trustManagerFactory.getTrustManagers(), new java.security.SecureRandom());

        // 构建MongoClient配置
        MongoClientSettings settings = MongoClientSettings.builder()
                .applyConnectionString(new ConnectionString(mongoUri))
                .sslSettings(com.mongodb.connection.SslSettings.builder()
                        .context(sslContext)
                        .invalidHostNameAllowed(true)
                        .build())
                .build();

        return MongoClients.create(settings);
    }

    @Bean
    public MongoTemplate mongoTemplate() throws Exception {
        return new MongoTemplate(mongoClient(), "<你的数据库名>");
    }
}

这个方式完全自定义了SSL上下文，避免依赖系统属性的不确定性。

4. 排查常见坑点 #

• 信任库路径问题：如果用classpath:前缀，要确保trustedcerts.jks在src/main/resources/truststore/目录下，打包后能被正确加载。如果是绝对路径，要保证应用有读取权限。
• 密码不匹配：信任库密码和配置里的trustStorePassword必须完全一致，包括大小写。
• Docker端口映射：确认Docker容器的27017端口已经映射到主机的对应端口（比如docker run -p 27017:27017 ...）。
• MongoDB日志排查：登录MongoDB容器，查看/var/log/mongodb/mongod.log，里面会记录连接失败的具体原因（比如证书不被信任、SSL协议版本不兼容）。
• Java版本：MongoDB 4.0+推荐使用TLS 1.2，确保你的Java版本（Java 8u161+）支持该协议。

按照上面的步骤调整后，你的MongoRepository和MongoTemplate应该就能正常通过TLS连接到Docker里的MongoDB了。

内容的提问来源于stack exchange，提问作者bun_at_work