JavaFX 14 WebView加载自签名证书页面失败问题求助

你猜的没错！JavaFX 14引入的JDK-8211308特性确实是问题的核心——WebView默认切换到了JDK的HTTP/2客户端实现，彻底抛弃了之前依赖的HttpsURLConnection，这直接导致你之前通过setDefaultSSLSocketFactory和setDefaultHostnameVerifier设置的自定义信任逻辑完全失效。下面给你几个实用的解决方案：

1. 回退到旧版HTTP API（最快兼容旧代码） #

JavaFX官方确实提供了回退到旧HTTP实现的途径，只需要设置一个系统属性就能让你的旧代码重新生效。

设置方式： #

• 启动参数法：在启动应用时添加JVM参数，比如：

  -Djavafx.web.useHttp2=false
  

• 代码设置法：一定要在初始化WebEngine或WebView之前执行这段代码：

  System.setProperty("javafx.web.useHttp2", "false");
  

  注意顺序很重要，晚于WebView初始化的话就不会生效了。

2. 为HTTP/2客户端配置自定义SSLContext #

既然WebView现在用的是JDK原生的HTTP/2客户端，我们可以通过设置全局默认的SSLContext来让它信任自签名证书。注意：这个方案仅适合测试/开发环境，生产环境不要信任所有证书！

步骤1：创建信任所有证书的SSLContext #

import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManager;
import javax.net.ssl.X509TrustManager;
import java.security.cert.X509Certificate;

private static SSLContext createTrustAllSSLContext() throws Exception {
    // 定义一个信任所有证书的TrustManager
    TrustManager[] trustAllCerts = new TrustManager[]{
        new X509TrustManager() {
            @Override
            public X509Certificate[] getAcceptedIssuers() {
                return new X509Certificate[0];
            }

            @Override
            public void checkClientTrusted(X509Certificate[] chain, String authType) {}

            @Override
            public void checkServerTrusted(X509Certificate[] chain, String authType) {}
        }
    };

    // 初始化并返回SSLContext
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, trustAllCerts, new java.security.SecureRandom());
    return sslContext;
}

步骤2：设置全局默认SSLContext并跳过主机名验证 #

同样要在WebView初始化之前执行：

// 设置全局默认SSLContext
SSLContext.setDefault(createTrustAllSSLContext());

// 同时配置HostnameVerifier，跳过主机名匹配验证
javax.net.ssl.HttpsURLConnection.setDefaultHostnameVerifier(
    (hostname, session) -> true
);

这样HTTP/2客户端就会使用这个自定义的SSLContext，自动信任所有证书包括你的自签名证书。

3. 将自签名证书导入JVM信任存储（生产环境推荐） #

这是最安全、最规范的解决方案——把你的自签名证书添加到JVM的系统信任列表中，这样不管WebView用HTTP/1还是HTTP/2，都会信任该证书。

操作步骤： #

1. 准备好你的自签名证书文件（比如my-custom-cert.crt）
2. 使用JDK自带的keytool工具导入证书到JRE的信任存储：

   keytool -importcert -file my-custom-cert.crt -keystore $JAVA_HOME/jre/lib/security/cacerts -alias my-cert-alias
   

   • 默认的信任存储密码是changeit
   • 如果是模块化JDK（比如OpenJDK 11+），路径可能是$JAVA_HOME/lib/security/cacerts
3. 重启应用后，WebView就能正常加载该证书签名的HTTPS页面了。

关于JDK版本差异的补充说明 #

你遇到的OpenJDK版本差异是因为：在11.0.2及以下版本中，JavaFX的WebView会自动回退到旧的URLConnection实现（这些JDK版本的HTTP/2支持不够完善，JavaFX默认关闭了），所以你的旧代码仍然能生效；而OpenJDK 12+默认完全启用了HTTP/2支持，WebView切换到新的客户端，旧的信任逻辑就失效了。

内容的提问来源于stack exchange，提问作者Stephen Slater