Spring WebClient是否使用默认信任库？SSL认证异常疑问

核心结论 #

Spring WebClient默认会使用JVM自带的信任库，也就是JRE安装目录下的cacerts文件（路径通常为$JAVA_HOME/jre/lib/security/cacerts）。

为什么访问结果有差异？ #

• 访问https://www.google.com成功，是因为谷歌的SSL证书由全球主流CA机构签发，这些CA的根证书已经默认预装在JVM的cacerts信任库中，WebClient能顺利完成证书链验证。
• 访问https://www.cricinfo.com和https://jsonplaceholder.typicode.com失败，是因为这两个站点的证书要么由JVM默认信任库未包含的CA签发，要么证书链不完整，导致JVM无法找到有效的信任路径，从而抛出PKIX path building failed错误。

验证默认信任库的方法 #

可以用keytool命令查看JVM默认信任库中的证书列表：

keytool -list -keystore $JAVA_HOME/jre/lib/security/cacerts

默认访问密码为changeit。

解决证书验证失败的方案 #

1. 导入CA根证书到默认信任库：将目标站点的CA根证书用keytool导入到JVM的cacerts文件中，操作命令示例：

   keytool -import -alias custom-ca -file /path/to/root-cert.crt -keystore $JAVA_HOME/jre/lib/security/cacerts
   

2. 给WebClient自定义SSL上下文：创建包含目标站点证书的信任库，然后配置WebClient使用该自定义上下文，示例代码：

   // 加载自定义信任库
   KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
   try (InputStream is = new FileInputStream("/path/to/custom-truststore.jks")) {
       trustStore.load(is, "truststore-password".toCharArray());
   }
   
   // 构建SSL上下文
   SslContext sslContext = SslContextBuilder
           .forClient()
           .trustManager(trustStore)
           .build();
   
   // 配置WebClient使用自定义SSL上下文
   WebClient webClient = WebClient.builder()
           .clientConnector(new ReactorClientHttpConnector(
                   HttpClient.create().secure(t -> t.sslContext(sslContext))
           ))
           .build();
   

3. 禁用证书验证（不推荐生产环境）：通过配置忽略证书验证跳过检查，但这会带来严重的安全风险，仅用于测试场景：

   SslContext sslContext = SslContextBuilder
           .forClient()
           .trustManager(InsecureTrustManagerFactory.INSTANCE)
           .build();
   
   WebClient webClient = WebClient.builder()
           .clientConnector(new ReactorClientHttpConnector(
                   HttpClient.create().secure(t -> t.sslContext(sslContext))
           ))
           .build();
   

内容的提问来源于stack exchange，提问作者Murtaza Hasan