Spring Boot发送HTTPS请求遇PKIX证书路径错误求助

我来帮你梳理下这个问题的解决办法，你遇到的情况很典型：部分HTTPS站点能正常访问，但特定站点（比如developer.api.autodesk.com）抛出PKIX路径错误，核心原因是该站点的证书链没有被你的Java信任库所信任。虽然你已经配置了自定义密钥库，但大概率是这个站点的根/中间证书没被导入进去，而bing、amazon的证书链刚好已被你的信任库覆盖。

1. 先确认目标站点的完整证书链 #

首先用浏览器打开https://developer.api.autodesk.com/，查看证书的完整路径：

• 点击地址栏的锁图标 → 选择「证书」→ 切换到「详细信息」标签页 → 点击「路径」
• 你会看到一串证书层级（比如服务器证书→中间证书→根证书），这整个链条都需要被Java信任库认可才行。

2. 导出证书链并导入自定义密钥库 #

把证书链里的每一张证书都导出为Base64编码的.crt文件（浏览器里在证书详情页选择「复制到文件」，按向导选Base64格式），然后用Java的keytool命令导入到你的E:/jssecacerts密钥库：

# 导入根证书，alias可以自定义，比如autodesk-root
keytool -import -alias autodesk-root -file autodesk-root.crt -keystore E:/jssecacerts -storepass changeit
# 导入中间证书
keytool -import -alias autodesk-intermediate -file autodesk-intermediate.crt -keystore E:/jssecacerts -storepass changeit
# 导入服务器证书
keytool -import -alias autodesk-server -file autodesk-server.crt -keystore E:/jssecacerts -storepass changeit

注意：默认密钥库密码是changeit，如果你的自定义密钥库修改过密码，替换成对应的密码即可。

3. 确保HttpClient使用自定义信任库 #

这里有个容易踩的坑：Spring的server.ssl.*配置是给服务器端用的，而你用HttpClient发送请求属于客户端操作，默认情况下HttpClient会使用JRE的默认信任库，而不是你配置的自定义密钥库。所以需要手动构建SSL上下文，让HttpClient加载你的密钥库：

@Test
public void test() throws Exception{
    // 加载自定义密钥库
    KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
    FileInputStream instream = new FileInputStream(new File("E:/jssecacerts"));
    try {
        trustStore.load(instream, "changeit".toCharArray());
    } finally {
        if (instream != null) {
            instream.close();
        }
    }

    // 构建信任自定义密钥库的SSL上下文
    SSLContext sslContext = SSLContexts.custom()
            .loadTrustMaterial(trustStore, null)
            .build();

    // 创建使用该SSL上下文的HttpClient
    HttpClient httpClient = HttpClientBuilder.create()
            .setSSLContext(sslContext)
            .build();

    HttpPost request = new HttpPost("https://developer.api.autodesk.com/");
    HttpResponse response = httpClient.execute(request);
    HttpEntity entity = response.getEntity();
    String body = EntityUtils.toString(entity);
    if (response.getStatusLine().getStatusCode() != 200) {
        throw new RuntimeException("Expected 200 but got " + response.getStatusLine().getStatusCode() + ", with body " + body);
    }
    System.out.println(body);
}

4. 验证证书是否成功导入 #

用keytool命令查看密钥库中的证书列表，确认autodesk相关的证书已经存在：

keytool -list -keystore E:/jssecacerts -storepass changeit

临时测试方案（生产环境禁用） #

如果只是想快速验证请求逻辑，也可以在测试环境临时禁用证书验证（绝对不能在生产环境使用，会带来严重安全风险）：

// 构建跳过证书验证的SSL上下文
SSLContext sslContext = new SSLContextBuilder()
        .loadTrustMaterial(null, (chain, authType) -> true)
        .build();

// 创建禁用证书验证和主机名校验的HttpClient
HttpClient httpClient = HttpClientBuilder.create()
        .setSSLContext(sslContext)
        .setSSLHostnameVerifier(NoopHostnameVerifier.INSTANCE)
        .build();

内容的提问来源于stack exchange，提问作者Assassin