SpringBoot2.1.6+Java11调用第三方API遇ECDH签名异常求助

这个问题我之前帮同事排查过类似场景，核心原因大概率是第三方服务近期调整了SSL相关配置（比如证书更新、加密套件变更），而你的Java 11环境的SSL默认策略和Postman的运行环境不匹配导致的。Postman通常会自动适配服务端的证书和加密规则，而Java则依赖自身的cacerts信任库和默认加密套件，所以出现了差异。下面给你一步步的排查和解决方法：

一、先确认第三方服务的SSL配置变化（若能联系对方） #

虽然你没法修改第三方服务，但可以先确认几个关键点：

• 对方是否更换了SSL证书（尤其是根证书或中间证书）
• 是否调整了支持的TLS版本或加密套件，比如禁用了旧的ECDH套件，或者启用了新的签名算法

如果能拿到这些信息，后续调整会更精准；如果联系不上，就从Java端入手。

二、方案1：更新Java信任库，导入第三方证书 #

Postman能正常调用，说明它信任对方的证书，而Java的默认信任库可能没有包含对方的根证书或中间证书。你需要手动导入：

1. 获取第三方API的证书：

   • 用Chrome访问第三方API域名，点击地址栏的锁图标 → 证书 → 详细信息 → 复制到文件，选择DER格式保存为thirdparty.crt
   • 或者用openssl命令：openssl s_client -connect api.example.com:443 < /dev/null | openssl x509 -outform PEM -out thirdparty.crt

2. 导入到Java的信任库：
   打开终端执行以下命令（默认信任库密码是changeit）：

   keytool -import -alias thirdparty-api -file thirdparty.crt -keystore $JAVA_HOME/lib/security/cacerts
   

   Windows系统需将$JAVA_HOME替换为你的JDK安装路径，比如C:\Program Files\Java\jdk-11.0.x\lib\security\cacerts

3. 重启Spring Boot应用，测试调用是否恢复正常。

三、方案2：自定义RestTemplate的SSL上下文，适配加密套件 #

如果是加密套件不匹配的问题，你可以自定义RestTemplate的SSL配置，指定支持的加密套件，或者临时禁用证书校验（仅用于测试，生产环境不推荐）：

示例1：自定义SSLContext，支持更多加密套件 #

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.client.SimpleClientHttpRequestFactory;
import org.springframework.web.client.RestTemplate;

import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManager;
import javax.net.ssl.X509TrustManager;
import java.security.cert.X509Certificate;

@Configuration
public class RestTemplateConfig {

    @Bean
    public RestTemplate restTemplate() throws Exception {
        // 创建信任所有证书的TrustManager（测试用）
        TrustManager[] trustAllCerts = new TrustManager[]{
            new X509TrustManager() {
                public X509Certificate[] getAcceptedIssuers() { return null; }
                public void checkClientTrusted(X509Certificate[] certs, String authType) {}
                public void checkServerTrusted(X509Certificate[] certs, String authType) {}
            }
        };

        // 初始化SSLContext，指定TLS版本
        SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
        sslContext.init(null, trustAllCerts, new java.security.SecureRandom());

        // 配置请求工厂
        SimpleClientHttpRequestFactory factory = new SimpleClientHttpRequestFactory();
        factory.setSslContext(sslContext);
        factory.setSslSocketFactory(sslContext.getSocketFactory());

        return new RestTemplate(factory);
    }
}

示例2：使用Apache HttpClient工厂（更灵活） #

如果上面的方法不行，可以换成Apache HttpClient的工厂，它支持更细粒度的SSL配置：

1. 先添加依赖到pom.xml：

<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient</artifactId>
</dependency>

2. 配置RestTemplate：

import org.apache.http.conn.ssl.NoopHostnameVerifier;
import org.apache.http.conn.ssl.SSLConnectionSocketFactory;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.ssl.SSLContexts;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.client.HttpComponentsClientHttpRequestFactory;
import org.springframework.web.client.RestTemplate;

import javax.net.ssl.SSLContext;

@Configuration
public class RestTemplateConfig {

    @Bean
    public RestTemplate restTemplate() throws Exception {
        // 创建信任所有证书的SSLContext
        SSLContext sslContext = SSLContexts.custom()
                .loadTrustMaterial((chain, authType) -> true)
                .build();

        // 配置SSL连接工厂，指定支持的TLS版本
        SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(
                sslContext,
                new String[]{"TLSv1.2", "TLSv1.3"},
                null,
                NoopHostnameVerifier.INSTANCE
        );

        CloseableHttpClient httpClient = HttpClients.custom()
                .setSSLSocketFactory(sslSocketFactory)
                .build();

        HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory(httpClient);
        return new RestTemplate(factory);
    }
}

四、方案3：升级Java或Spring Boot版本 #

Java 11的早期版本可能存在一些SSL相关的bug，比如ECDH签名验证的问题。你可以尝试：

• 升级Java 11到最新的小版本（比如11.0.20及以上）
• 升级Spring Boot 2.1.x到最新补丁版本（比如2.1.20.RELEASE），它会修复一些底层客户端连接问题

五、临时测试方案：让Java应用走Postman代理 #

如果你想快速验证是不是Java环境的问题，可以让Spring Boot应用通过Postman的代理调用第三方API：

1. 打开Postman → 设置 → 代理 → 开启本地代理（比如端口8080）
2. 在Java应用中添加JVM参数：-Dhttp.proxyHost=localhost -Dhttp.proxyPort=8080 -Dhttps.proxyHost=localhost -Dhttps.proxyPort=8080
3. 重启应用测试，如果能正常调用，就确认是Java自身的SSL配置问题。

内容的提问来源于stack exchange，提问作者user165921