Spring Boot 2集成Tomcat9配置信任库启用SSL时启动失败

我来帮你搞定这个启动失败的问题——你遇到的核心报错是java.security.InvalidAlgorithmParameterException: the trustAnchors parameter must be non-empty，本质是你配置的信任库（trust store）没有包含有效的信任锚证书，或者配置本身有问题，导致Tomcat初始化SSL上下文时找不到可用的信任锚。而只配置密钥库（key store）时能正常启动，是因为Tomcat默认会用JDK自带的cacerts作为信任库，不会触发这个校验。

下面是一步步的解决方案：

1. 先确认信任库的有效性 #

首先排查信任库本身是否有问题：

• 检查信任库文件的路径是否正确：如果用classpath:truststore.jks，要确保文件放在src/main/resources目录下；如果是绝对路径，要确认文件确实存在对应位置。
• 用keytool命令检查信任库内的证书情况，执行以下命令：

  keytool -list -v -keystore your-truststore.jks -storepass your-truststore-password
  

  如果输出里看不到任何证书条目，说明你的信任库是空的，这就是问题根源，需要导入信任的证书。

2. 修正Spring Boot的SSL配置 #

确保application.properties（或application.yml）里的SSL配置项准确无误，特别是信任库相关的参数：

示例application.properties配置： #

server.port=8443
# 密钥库配置
server.ssl.key-store=classpath:keystore.jks
server.ssl.key-store-password=your-keystore-pass
server.ssl.key-alias=your-key-alias
# 信任库配置
server.ssl.trust-store=classpath:truststore.jks
server.ssl.trust-store-password=your-truststore-pass
server.ssl.trust-store-type=JKS # 如果是PKCS12格式，改成PKCS12

小技巧：如果你的信任证书已经放在密钥库（keystore）里，可以不用单独配置trust store，直接复用key store即可，这样能避免很多配置错误。

3. 导入信任证书到信任库 #

如果信任库是空的，把你需要信任的CA证书或者对方的服务证书导入进去，执行以下keytool命令：

keytool -import -alias trusted-cert-01 -file /path/to/your/trusted-cert.crt -keystore truststore.jks -storepass your-truststore-password

执行过程中会提示是否信任该证书，输入yes确认即可。导入完成后再用第一步的keytool命令验证，确保证书已经存在。

4. 排查其他潜在问题 #

• 密码正确性：确认信任库的密码和配置文件里的完全一致，注意大小写敏感。
• 文件权限：如果是部署在Linux服务器上，要确保运行Spring Boot的进程有读取信任库文件的权限，避免因权限不足导致无法加载文件内容。

内容的提问来源于stack exchange，提问作者Ajitdas