Spring Boot调用外部API出现SSL握手失败问题求助

可能的原因 #

• RestTemplate默认未配置连接池，SSL会话复用机制异常，导致二次请求时握手失效
• Spring Security过滤器链可能在首次请求后修改了SSL上下文，干扰后续外部API调用
• 本地JDK版本与spoonacular API的SSL协议/密码套件不兼容
• 目标API对重复请求的SSL会话有特殊限制

解决方案 #

1. 配置带SSL连接池的RestTemplate #

手动配置基于HttpComponentsClientHttpRequestFactory的RestTemplate，确保SSL会话正确复用：

@Configuration
public class RestTemplateConfig {

    @Bean
    public RestTemplate restTemplate() throws KeyManagementException, NoSuchAlgorithmException {
        // 初始化默认SSL上下文
        SSLContext sslContext = SSLContext.getDefault();
        SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(sslContext);
        
        // 配置连接池参数
        PoolingHttpClientConnectionManager connectionManager = new PoolingHttpClientConnectionManager();
        connectionManager.setMaxTotal(20);
        connectionManager.setDefaultMaxPerRoute(10);
        
        // 构建HttpClient实例
        HttpClient httpClient = HttpClients.custom()
                .setSSLSocketFactory(sslSocketFactory)
                .setConnectionManager(connectionManager)
                .build();
        
        HttpComponentsClientHttpRequestFactory requestFactory = new HttpComponentsClientHttpRequestFactory(httpClient);
        requestFactory.setConnectTimeout(5000);
        requestFactory.setReadTimeout(5000);
        
        return new RestTemplate(requestFactory);
    }
}

2. 强制指定兼容的SSL协议 #

如果是JDK版本与目标API协议不兼容，手动指定支持的TLS版本：
修改上述配置中的SSLContext初始化部分：

SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, null, new SecureRandom());

若需要更广泛的兼容，可指定多协议：

SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, null, new SecureRandom());

3. 排除Spring Security对外部API请求的干扰 #

在Security配置中添加忽略规则，确保RestTemplate的外部调用不被拦截：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        // 替换为你调用外部API的接口路径
                        .requestMatchers("/ingredients/fetch").permitAll()
                        .anyRequest().authenticated()
                )
                // 其他Security配置...
        ;
        return http.build();
    }
}

4. 临时禁用SSL会话复用（仅用于排查） #

若以上方案无效，可临时禁用会话复用确认问题根源（生产环境不建议使用，会降低性能）：

HttpClient httpClient = HttpClients.custom()
        .setSSLSocketFactory(sslSocketFactory)
        .setConnectionManager(connectionManager)
        .disableConnectionState()
        .build();

验证步骤 #

1. 重启应用后多次刷新页面，观察是否仍出现握手失败
2. 核对spoonacular API文档，确认其支持的SSL协议/密码套件，保持本地配置匹配
3. 升级JDK至11及以上版本，提升现代SSL协议兼容性

内容的提问来源于stack exchange，提问作者Devmina