升级Spring Boot和Java 17后SSL握手异常问题求助

核心原因推测 #

Java 17（基于OpenJDK 17）和Spring Boot 2.6（内嵌Tomcat 9.x/10.x）对SSL/TLS的默认安全规则做了严格收紧，旧证书大概率不符合新规范：

• 旧证书使用SHA-1这类已被禁用的弱签名算法
• 密钥长度不足（比如RSA 1024位），Java 17要求最小密钥长度至少2048位
• TLS协议版本或密码套件不兼容，Java 17默认禁用TLS 1.0/1.1，且对老旧密码套件的支持完全移除

具体解决方案 #

1. 检查旧证书合规性 #

用keytool命令查看旧证书细节，确认问题点：

keytool -printcert -file old-cert.crt

重点关注：

• 签名算法（Signature algorithm）：如果是SHA1withRSA，Java 17默认不信任
• 公钥长度（Public key size）：需≥2048位
• 证书有效期：是否已过期

2. 临时放宽JVM安全限制（仅测试用，禁止生产） #

若必须临时使用旧证书，可通过JVM参数移除对应禁用规则：

-Djdk.tls.disabledAlgorithms=SSLv3,TLSv1,TLSv1.1,RC4,MD5withRSA,DH keySize < 1024,EC keySize < 224,3DES_EDE_CBC,anon,NULL

注意：如果旧证书用的是SHA-1签名，需把SHA1withRSA从上述参数的禁用列表中删除，但这会降低系统安全性，仅用于临时验证。

3. 生成合规证书（生产环境推荐） #

既然新自签证书能正常运行，说明符合Java 17要求，参考以下命令生成标准证书：

keytool -genkeypair -alias mycert -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -validity 3650 -keystore keystore.jks

参数说明：

• -keyalg RSA：采用RSA加密算法
• -keysize 2048：密钥长度满足Java 17最小要求
• -sigalg SHA256withRSA：使用Java 17信任的SHA-256签名算法
• -validity 3650：设置10年有效期

4. 配置Spring Boot TLS参数 #

在application.properties中明确指定兼容的TLS版本和密码套件：

server.ssl.enabled=true
server.ssl.protocol=TLSv1.2
server.ssl.ciphers=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

仅选择Java 17官方支持的密码套件，避免使用已被禁用的老旧套件。

5. 消除SNI提取警告 #

日志中The ClientHello was not presented in a single TLS record警告，是Tomcat SNI提取器的兼容性问题，可通过自定义Tomcat连接器解决：

@Configuration
public class TomcatConfig {
    @Bean
    public TomcatServletWebServerFactory tomcatServletWebServerFactory() {
        TomcatServletWebServerFactory factory = new TomcatServletWebServerFactory();
        factory.addConnectorCustomizers(connector -> {
            AbstractHttp11Protocol<?> protocol = (AbstractHttp11Protocol<?>) connector.getProtocolHandler();
            protocol.setExtractSniHeader(false);
        });
        return factory;
    }
}

内容的提问来源于stack exchange，提问作者Vu Huynh