Spring Data Elasticsearch SSL握手异常：PKIX路径构建失败求助

1. 修复证书加载方式（最可能的触发原因） #

你的代码中通过classLoader.getResource(certFilePath).toURI()转成FileInputStream的方式，在项目打包成JAR后会直接失效——因为JAR内的资源并非文件系统中的实体文件。应直接使用getResourceAsStream读取类路径资源：

修改证书加载段代码：

// 替换原有的fis初始化逻辑
InputStream fis = classLoader.getResourceAsStream(certFilePath);
if (fis == null) {
    throw new FileNotFoundException("类路径中未找到证书文件: " + certFilePath);
}

2. 确认加载的是正确的CA证书 #

确保你加载的是Elasticsearch集群的根CA证书（通常命名为ca.crt），而非单个节点的证书。若仅加载节点证书，Java无法构建完整的信任链，必然触发PKIX路径错误。

可通过以下命令验证证书归属：

openssl x509 -in your-cert.crt -text -noout

查看Issuer字段，若其指向其他CA，则需加载上层的根CA证书，而非当前节点证书。

3. 确保健康检查使用自定义RestClient #

Spring Boot默认的ElasticsearchRestHealthIndicator会自动创建未配置SSL的RestClient，不会复用你自定义的ClientConfiguration。需手动配置并注入自定义RestClient：

@Bean
public RestClient elasticsearchRestClient() {
    SSLContext sc = readTLSCertToPrepareSslContext(elasticUsername, elasticPassword);
    return RestClient.builder(HttpHost.create(elasticUrl))
            .setHttpClientConfigCallback(httpClientBuilder -> 
                    httpClientBuilder.setSSLContext(sc))
            .setDefaultCredentialsProvider(getCredentialsProvider(elasticUsername, elasticPassword))
            .build();
}

@Bean
public ElasticsearchRestHealthIndicator elasticsearchRestHealthIndicator(RestClient restClient) {
    return new ElasticsearchRestHealthIndicator(restClient);
}

// 提取凭证提供器逻辑
private BasicCredentialsProvider getCredentialsProvider(String user, String password) {
    BasicCredentialsProvider provider = new BasicCredentialsProvider();
    provider.setCredentials(AuthScope.ANY, new UsernamePasswordCredentials(user, password));
    return provider;
}

4. 简化SSLContext创建代码（移除冗余逻辑） #

原方法中创建的BasicCredentialsProvider并未实际使用（后续ClientConfiguration通过withBasicAuth配置了凭证），可删除该冗余部分：

@SneakyThrows
private SSLContext readTLSCertToPrepareSslContext() {
    KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());
    ks.load(null, null);

    String certFilePath = webApiConfiguration.getElastic().getCertFilePath();
    InputStream fis = getClass().getClassLoader().getResourceAsStream(certFilePath);
    if (fis == null) {
        throw new FileNotFoundException("未找到证书文件: " + certFilePath);
    }

    CertificateFactory cf = CertificateFactory.getInstance("X.509");
    X509Certificate cert = (X509Certificate) cf.generateCertificate(fis);
    ks.setCertificateEntry("caCert", cert);

    TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    tmf.init(ks);

    SSLContext context = SSLContext.getInstance("TLS");
    context.init(null, tmf.getTrustManagers(), null);
    return context;
}

5. 验证证书是否成功加载 #

在代码中添加日志，确认证书加载状态：

// 加载证书后添加日志输出
LOGGER.info("已加载CA证书: 主体={}, 签发者={}", cert.getSubjectDN(), cert.getIssuerDN());

若日志未输出证书信息，说明证书路径配置错误，需检查certFilePath是否指向类路径中的正确文件。

内容的提问来源于stack exchange，提问作者Os Q