SingleCertValidatingFactory无法与AWS RDS global-bundle.pem配合使用如何解决？

为什么使用SingleCertValidatingFactory会报错？ #

org.postgresql.ssl.SingleCertValidatingFactory的设计目的是验证单一服务器证书，它只能处理单个X.509证书，而你使用的global-bundle.pem是包含多个RDS CA根证书的证书集合（bundle），因此该工厂类无法正确解析并加载所有CA证书，最终导致PKIX路径构建失败。

解决方法 #

方法1：自定义SSLFactory加载类路径中的CA Bundle #

实现PGSSLFactory子类，从类路径读取并解析证书bundle，将所有CA证书加载到信任库中：

import org.postgresql.ssl.PGSSLFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
import java.io.InputStream;
import java.security.KeyStore;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import java.util.ArrayList;
import java.util.List;

public class ClasspathCAFactory extends PGSSLFactory {
    @Override
    protected SSLContext createSSLContext() throws Exception {
        // 从类路径读取证书bundle
        try (InputStream is = getClass().getResourceAsStream("/global-bundle.pem")) {
            CertificateFactory cf = CertificateFactory.getInstance("X.509");
            List<X509Certificate> certList = new ArrayList<>();
            
            // 读取bundle内的所有CA证书
            while (is.available() > 0) {
                certList.add((X509Certificate) cf.generateCertificate(is));
            }

            // 初始化临时密钥库并添加证书
            KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
            trustStore.load(null, null);
            for (int i = 0; i < certList.size(); i++) {
                trustStore.setCertificateEntry("rds-ca-" + i, certList.get(i));
            }

            // 初始化信任管理器
            TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
            tmf.init(trustStore);

            // 创建并返回SSL上下文
            SSLContext sslContext = SSLContext.getInstance("TLS");
            sslContext.init(null, tmf.getTrustManagers(), null);
            return sslContext;
        }
    }
}

将该类打包到你的应用中，然后修改JDBC URL：

jdbc:postgresql://<db-endpoint>:5432/pgdb?ssl=true&sslmode=verify-full&sslfactory=com.your.package.ClasspathCAFactory

方法2：将CA Bundle导入JVM全局信任库 #

使用keytool命令将证书bundle导入JRE的默认信任库（适合非容器化环境）：

keytool -importcert -file global-bundle.pem -keystore $JAVA_HOME/jre/lib/security/cacerts -alias rds-global-ca

默认信任库密码为changeit，导入后无需修改JDBC URL，直接使用：

jdbc:postgresql://<db-endpoint>:5432/pgdb?ssl=true&sslmode=verify-full

方法3：将PEM转为JKS信任库并通过系统属性指定 #

先将PEM格式的证书bundle转为JKS格式：

# 第一步：转为PKCS12格式
openssl pkcs12 -export -in global-bundle.pem -out rds-ca.p12 -nokeys -password pass:yourpwd

# 第二步：转为JKS格式
keytool -importkeystore -srckeystore rds-ca.p12 -srcstoretype PKCS12 -srcstorepass yourpwd -destkeystore rds-ca.jks -deststoretype JKS -deststorepass yourpwd

启动应用时添加JVM参数指定信任库：

-Djavax.net.ssl.trustStore=/path/to/rds-ca.jks -Djavax.net.ssl.trustStorePassword=yourpwd

JDBC URL简化为：

jdbc:postgresql://<db-endpoint>:5432/pgdb?ssl=true&sslmode=verify-full

总结 #

SingleCertValidatingFactory不支持PEM格式的证书bundle，仅适用于单个证书场景。如果需要从类路径加载CA证书集合，自定义SSLFactory是最灵活的方案，无需依赖外部文件或修改JVM全局配置，适合打包在Jar中的应用场景。

内容的提问来源于stack exchange，提问作者Vishal