Jetty Server多证书配置：SNI匹配与默认证书指定问题

核心实现思路 #

你要的「SNI匹配时返回对应CN证书，无匹配/未指定时返回默认证书」的效果，核心依赖SNI（Server Name Indication）协议——Java从7开始已经原生支持SNI，完全不用自定义密钥管理器，Jetty有现成的简便配置方案。

Jetty的解决方案：certAlias + SNI映射 #

Jetty的SslContextFactory直接支持这个需求，步骤如下：

1. 密钥库准备：把所有证书（包括默认证书）导入同一个JKS，导入时给每个证书指定唯一的alias（比如用keytool -importcert -file server1.crt -keystore keystore.jks -alias server1命令）。
2. 配置方式：
   • 代码方式：

     SslContextFactory.Server sslContextFactory = new SslContextFactory.Server();
     sslContextFactory.setKeyStorePath("你的密钥库路径/keystore.jks");
     sslContextFactory.setKeyStorePassword("密钥库密码");
     // 指定默认证书的alias——SNI不匹配或客户端没发SNI时就用这个
     sslContextFactory.setCertAlias("default-server");
     // 把每个主机名（对应证书CN）映射到对应的证书alias
     sslContextFactory.addSniAlias("server1.example.com", "server1");
     sslContextFactory.addSniAlias("server2.example.com", "server2");
     

   • XML配置方式（Jetty XML部署场景）：

     <New id="sslContextFactory" class="org.eclipse.jetty.util.ssl.SslContextFactory$Server">
       <Set name="keyStorePath">你的密钥库路径/keystore.jks</Set>
       <Set name="keyStorePassword">密钥库密码</Set>
       <!-- 设置默认证书别名 -->
       <Set name="certAlias">default-server</Set>
       <!-- 映射SNI主机名到证书别名 -->
       <Call name="addSniAlias">
         <Arg>server1.example.com</Arg>
         <Arg>server1</Arg>
       </Call>
       <Call name="addSniAlias">
         <Arg>server2.example.com</Arg>
         <Arg>server2</Arg>
       </Call>
     </New>
     

3. 效果验证：客户端发送SNI指定server1.example.com时，Jetty返回server1别名的证书；未发送SNI或SNI主机名无匹配时，返回你指定的default-server证书，完全符合需求。

关于「SNI未匹配时返回随机证书」的问题 #

你遇到的随机情况，是因为默认（未配置certAlias和SNI映射）时，Java的KeyManager会遍历密钥库寻找兼容的证书，但遍历顺序不按导入顺序，而是依赖密钥库内部存储结构，所以看起来像随机选择。

解决的关键就是显式设置certAlias作为默认证书，这样Jetty找不到匹配的SNI别名时，直接使用你指定的默认证书，不会乱选。

为什么不用自定义密钥管理器 #

Jetty的SslContextFactory已经把SNI的证书选择逻辑封装好了，内部会自动根据SNI主机名匹配对应的证书别名，完全不用你自己去实现X509KeyManager的chooseServerAlias方法，这就是最简便的方式。

内容的提问来源于stack exchange，提问作者AABBCC