SSL握手失败：Java应用无Server Hello响应的排查求助

分析与解决步骤 #

一、排查加密套件兼容性（核心问题） #

从日志可见，客户端发送的加密套件均为128位AES相关套件，而服务端仅配置256位AES-GCM、CHACHA20-POLY1305等套件，两者无交集导致握手失败。

1. 确认服务端实际支持的加密套件
   执行命令查看服务端TLSv1.2下的可用套件：

   openssl s_client -connect www.test-api.com:443 -tls1_2
   

   在输出中找到Cipher Suite字段，确认服务端实际启用的套件列表。

2. 验证客户端JCE加密强度限制
   JDK 8u131默认受出口限制，仅支持128位加密，需安装无限强度JCE策略：

   • 检查当前加密强度：在应用中添加代码执行以下输出

     System.out.println(javax.crypto.Cipher.getMaxAllowedKeyLength("AES"));
     

     返回128表示有限强度，返回2147483647表示无限强度。
   • 安装无限强度策略：
     下载对应JDK 8的JCE Unlimited Strength Jurisdiction Policy Files，替换$JAVA_HOME/jre/lib/security下的local_policy.jar和US_export_policy.jar，重启应用。

二、检查证书信任配置有效性 #

1. 确认证书已正确导入信任库
   执行命令验证：

   keytool -list -keystore $JAVA_HOME/jre/lib/security/cacerts -alias server-ssl
   

   输入默认密码changeit，若输出包含该证书信息则导入成功。

2. 强制指定应用使用的信任库
   在JVM启动参数中添加：

   -Djavax.net.ssl.trustStore=$JAVA_HOME/jre/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit
   

   避免系统级信任库配置不生效的问题，也可在Feign中自定义SSLContext加载指定信任库。

三、验证BouncyCastle配置正确性 #

1. 检查Provider是否加载
   在java.security中确认已添加：

   security.provider.N=org.bouncycastle.jce.provider.BouncyCastleProvider
   

   其中N为现有Provider序号+1，可通过代码验证：

   System.out.println(Security.getProvider("BC"));
   

   返回非null则表示加载成功。

2. 确保依赖包生效
   可将BouncyCastle的jar包直接放入应用的lib目录，而非JDK的ext目录，避免类加载优先级问题。

四、调试与验证 #

1. 编写简单测试类排除Feign影响
   使用Java原生SSLSocket编写测试代码，直接连接目标地址，验证握手是否成功：

   import javax.net.ssl.SSLSocket;
   import javax.net.ssl.SSLSocketFactory;
   import java.io.IOException;
   
   public class SSLTest {
       public static void main(String[] args) throws IOException {
           SSLSocketFactory factory = (SSLSocketFactory) SSLSocketFactory.getDefault();
           SSLSocket socket = (SSLSocket) factory.createSocket("www.test-api.com", 443);
           socket.startHandshake();
           System.out.println("Handshake successful, cipher suite: " + socket.getSession().getCipherSuite());
           socket.close();
       }
   }
   

2. 开启详细SSL调试日志
   添加JVM启动参数：

   -Djavax.net.debug=ssl:handshake:verbose
   

   查看完整握手过程，确认是否存在证书链不完整、签名算法不匹配等其他问题。

内容的提问来源于stack exchange，提问作者Charles_Lau