Java客户端仅信任根CA证书A时，HTTPS访问能否成功？

结论：仅在Java客户端trustStore中保留根CA证书A时，HTTPS访问可以成功。

原因如下：

• HTTPS握手过程中，服务器会将自己的证书C以及中间证书B（因服务器密钥链p12包含这些证书，通常会自动把完整链发送给客户端）一同传给Java客户端。
• Java客户端的证书验证逻辑是从服务器提供的终端证书C出发，向上追溯签发者：C由B签发，B由A签发，而A是trustStore中被信任的根CA证书，整个信任链A->B->C完整且可信，因此验证通过。

补充说明你之前的测试现象：

• 证书C过期仍能访问，大概率是客户端未启用严格的证书过期校验（比如部分环境下配置了忽略过期的参数），但这和信任链的有效性是两个独立的校验维度。
• 仅保留B时能访问，是因为客户端将B当作了受信任的根证书，直接信任了B签发的C，跳过了对A的验证。

内容的提问来源于stack exchange，提问作者Mark Gargan