NiFi调用InvokeHTTP处理器无法连接HTTPS URL，遇SSLPeerUnverifiedException求解决

核心原因 #

javax.net.SSLPeerUnverifiedException本质是NiFi运行的JVM无法验证目标HTTPS站点的SSL证书链——浏览器能正常访问是因为自带独立的信任根证书库，和NiFi依赖的Java信任库不共用。

具体解决步骤 #

• 导出目标站点证书
  用浏览器打开目标HTTPS站点，点击地址栏锁图标查看证书详情，将证书导出为Base64编码的X.509格式（.cer文件）。

• 导入证书到Java信任库
  找到NiFi使用的JDK/JRE的cacerts文件路径（自带JRE的话在NiFi安装目录jre/lib/security/cacerts，系统JDK则是$JAVA_HOME/jre/lib/security/cacerts），执行命令导入：

  keytool -importcert -file /path/to/your/certificate.cer -alias target-site-cert -keystore /path/to/cacerts
  

  默认cacerts密码为changeit，执行后确认信任该证书。

• 调整SSL Context配置
  针对仅需用户名密码的场景，无需同时配置信任库和密钥库：

  1. 选用StandardSSLContextService
  2. 仅配置信任库：指定更新后的cacerts路径及密码，密钥库留空（目标站点不需要客户端证书，只需验证对方证书）
  3. 将该SSL Context关联到InvokeHTTP处理器的SSL Context Service属性

• 验证证书链完整性
  若站点证书由中间CA签发，仅导入站点证书可能无效。用openssl s_client -connect target-site:443命令查看完整证书链，依次导出根CA、中间CA、站点证书并全部导入信任库。

• 重启NiFi
  信任库更新后必须重启NiFi，确保JVM加载新的信任配置。

额外排查点 #

• 检查nifi.properties中的nifi.security.truststore属性，若指定了自定义信任库，需将证书导入该文件而非默认cacerts。
• 确认InvokeHTTP的HTTP Method、Username、Password配置正确，避免认证失败混淆问题排查。

内容的提问来源于stack exchange，提问作者shaaonee