OpenShift上Spring Boot服务调用SSL接口报PKIX路径构建失败问题咨询

首先，我注意到你配置里的一个关键问题：你的WebServiceTemplate并没有使用你定义的httpsUrlConnectionMessageSender（这个Sender配置了自定义信任库），而是在使用只配置了基础认证的httpComponentsMessageSenderClient，后者完全没处理SSL信任的逻辑，这就是为什么你加载了信任库但还是出现PKIX错误的核心原因。

下面给你两种可行的修复方案：

方案一：给HttpComponentsMessageSender配置SSL信任库 #

修改你的httpComponentsMessageSenderClient Bean，让它使用你已经定义的信任库来构建SSL上下文：

@Bean
public HttpComponentsMessageSender httpComponentsMessageSenderClient() throws Exception {
    HttpComponentsMessageSender httpComponentsMessageSender = new HttpComponentsMessageSender();
    // 设置基础认证凭据
    httpComponentsMessageSender.setCredentials(usernamePasswordCredentialsClient());
    
    // 加载自定义信任库并构建SSL上下文
    SSLContext sslContext = SSLContexts.custom()
            .loadTrustMaterial(sessionTrustStore().getObject(), 
                (X509Certificate[] chain, String authType) -> {
                    // 这里可以添加自定义的证书验证逻辑，比如校验证书链
                    // 如果你信任信任库里的所有证书，直接返回true即可
                    return true;
                })
            .build();
    
    // 配置HttpClient使用这个SSL上下文
    CloseableHttpClient httpClient = HttpClients.custom()
            .setSSLContext(sslContext)
            .build();
    
    httpComponentsMessageSender.setHttpClient(httpClient);
    return httpComponentsMessageSender;
}

方案二：让WebServiceTemplate使用已配置的HttpsUrlConnectionMessageSender #

直接修改webServiceTemplateClient Bean，把MessageSender替换成你已经配置好信任管理器的httpsUrlConnectionMessageSender：

@Bean
@Qualifier("webServiceTemplateClient")
public WebServiceTemplate webServiceTemplateClient() throws Exception {
    WebServiceTemplate webServiceTemplate = new WebServiceTemplate();
    webServiceTemplate.setMarshaller(marshallerClient());
    webServiceTemplate.setUnmarshaller(marshallerClient());
    webServiceTemplate.setDefaultUri("");
    // 替换成配置了信任库的MessageSender
    webServiceTemplate.setMessageSender(httpsUrlConnectionMessageSender());
    return webServiceTemplate;
}

额外排查点 #

除了上面的修复，你还可以验证以下几点确保万无一失：

• 确认信任库包含完整证书链：有时候服务器返回的是证书链（根证书+中间证书+服务器证书），如果你只导入了服务器证书，PKIX路径还是会构建失败。可以用以下命令查看信任库中的证书：

  keytool -list -v -keystore /opt/app-root/ssl/key.jks -storepass 你的信任库密码
  

  检查输出里的证书条目是否包含完整的链。
• 验证容器内信任库的权限：确保OpenShift容器的运行用户拥有读取/opt/app-root/ssl/key.jks文件的权限，避免因权限问题导致信任库实际未正确加载。
• 确认密码解密正确性：检查security.decrypt(trustPassword)解密后的密码是否和信任库实际密码一致，避免因密码错误导致信任库加载异常。

内容的提问来源于stack exchange，提问作者Daniel Pomrehn