JavaMail连接POP3S/IMAPS触发SSLHandshakeException问题求助

在Windows 11系统中，使用JavaMail 1.5.0-b0搭配OpenJDK 11、Oracle JDK 11或Oracle JDK 18连接POP3S/IMAPS服务器时，抛出javax.net.ssl.SSLHandshakeException: No appropriate protocol (protocol is disabled or cipher suites are inappropriate)异常，且未完成SSL握手（Wireshark未捕获到Client/Server Hello报文）。但使用OpenSSL测试相同连接可正常完成协商。

相关实现代码：

public Receiver(Proto proto, String host, int port) {
    isConnected = false;
    this.properties = new Properties();
    this.properties.put("mail.host", host);

    System.setProperty("javax.net.debug", "ssl:handshake");
    switch(proto) {
    case POP3_SSL:
        this.properties.put("mail.store.protocol", "pop3s");
        this.properties.put("mail.pop3s.port", port);
        break;
    case POP3:
        this.properties.put("mail.store.protocol", "pop3");
        this.properties.put("mail.pop3.port", port);
        break;
    case IMAP_SSL:
        this.properties.put("mail.store.protocol", "imaps");
        this.properties.put("mail.imaps.port", port);
        break;
    case IMAP:
        this.properties.put("mail.store.protocol", "imap");
        this.properties.put("mail.imap.port", port);
        break;
    }
    this.properties.put("mail.debug", "true");

}

public Receiver(Proto proto, String host) {
    this(proto, host, proto.port);
}

public void connect(String username, String password) throws MessagingException {
    Session session = javax.mail.Session.getInstance(properties);
    store = session.getStore();
    store.connect(username, password);
    isConnected = true;
}

测试代码：

public class ReceiverTest 
{
    String imap_host = "imaps.udag.de";
    String pop3_host = "pops.udag.de";
    String mail_user = "xxxxxxxxxxx";
    String mail_password = "xxxxxxxxxxx";

    @Test
    public void ConnectionTest() {
        try {
            Receiver receiver = new Receiver(Receiver.Proto.POP3_SSL, pop3_host);
            receiver.connect(mail_user, mail_password);
        } catch(MessagingException e) {
            assertTrue(e.getCause().toString(), false);
        }
        assertTrue( true );
    }
}

• 升级JavaMail版本
  JavaMail 1.5.0发布于2014年，对JDK 11+的TLS协议支持存在兼容性问题。升级至1.6.2及以上版本，新版本会适配JDK的安全配置，修复协议协商的兼容性问题。

• 显式指定TLS协议版本
  在JavaMail属性中添加协议配置，强制使用服务器支持的TLS版本（可通过OpenSSL测试确认服务器支持的版本，通常为TLSv1.2）：

  • 针对POP3S：

    properties.put("mail.pop3s.ssl.protocols", "TLSv1.2");
    

  • 针对IMAPS：

    properties.put("mail.imaps.ssl.protocols", "TLSv1.2");
    

  若服务器支持TLSv1.3，可改为"TLSv1.2,TLSv1.3"。

• 调整JDK安全配置（谨慎操作）
  JDK 11+默认禁用了部分旧TLS协议和弱密码套件，若邮件服务器仅支持这些被禁用的配置，可修改JDK安装目录下conf/security/java.security文件：
  找到jdk.tls.disabledAlgorithms项，移除服务器支持但被禁用的协议（例如若服务器仅支持TLSv1.1，删除列表中的TLSv1.1）。
  注意：此修改会影响所有使用该JDK的应用，仅在确认服务器安全的情况下使用，优先采用显式指定协议的方式。

• 自定义SSLSocketFactory
  如果上述方法无效，可自定义SSLSocketFactory手动指定支持的协议和密码套件：

import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLSocket;
import javax.net.ssl.SSLSocketFactory;
import java.io.IOException;
import java.net.InetAddress;
import java.net.Socket;

// 创建SSL上下文，指定协议版本
SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, null, null);

// 针对POP3S设置自定义SocketFactory
properties.put("mail.pop3s.ssl.socketFactory", new SSLSocketFactory() {
    private final SSLSocketFactory delegate = sslContext.getSocketFactory();

    @Override
    public Socket createSocket(Socket s, String host, int port, boolean autoClose) throws IOException {
        SSLSocket sslSocket = (SSLSocket) delegate.createSocket(s, host, port, autoClose);
        // 指定启用的协议
        sslSocket.setEnabledProtocols(new String[]{"TLSv1.2"});
        // 指定启用的密码套件（可根据OpenSSL测试结果调整）
        sslSocket.setEnabledCipherSuites(new String[]{
            "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256",
            "TLS_RSA_WITH_AES_128_GCM_SHA256"
        });
        return sslSocket;
    }

    @Override
    public String[] getDefaultCipherSuites() {
        return delegate.getDefaultCipherSuites();
    }

    @Override
    public String[] getSupportedCipherSuites() {
        return delegate.getSupportedCipherSuites();
    }

    @Override
    public Socket createSocket(String host, int port) throws IOException {
        return delegate.createSocket(host, port);
    }

    @Override
    public Socket createSocket(String host, int port, InetAddress localHost, int localPort) throws IOException {
        return delegate.createSocket(host, port, localHost, localPort);
    }

    @Override
    public Socket createSocket(InetAddress host, int port) throws IOException {
        return delegate.createSocket(host, port);
    }

    @Override
    public Socket createSocket(InetAddress address, int port, InetAddress localAddress, int localPort) throws IOException {
        return delegate.createSocket(address, port, localAddress, localPort);
    }
});

针对IMAPS，只需将属性名改为mail.imaps.ssl.socketFactory即可。

内容的提问来源于stack exchange，提问作者Jörg Knura