如何指定自定义信任库实现Quarkus应用连接LDAPS服务

通过javax.net.ssl.trustStore系统属性指定自定义信任库的方式不是唯一可行方案，你完全不需要修改Dockerfile，就能实现LDAPS的运行时可选配置，具体可落地的方案如下：

• 运行时按需注入JVM参数，无需修改镜像构建配置
  Quarkus官方提供的容器镜像基础镜像默认支持JAVA_OPTS_APPEND环境变量，会在应用启动时自动把该变量的值追加到JVM启动参数中，你完全不需要调整Dockerfile里的启动命令。
  需要启用LDAPS时，启动容器阶段传入对应参数、同时挂载信任库文件即可；不需要LDAPS时，不传该环境变量、不挂载信任库就不会有任何额外影响，启动示例如下：

  # 启用LDAPS场景
  docker run \
    -e JAVA_OPTS_APPEND="-Djavax.net.ssl.trustStore=/etc/truststore.jks -Djavax.net.ssl.trustStorePassword=pass" \
    -v /your/host/truststore.jks:/etc/truststore.jks \
    your-quarkus-app:latest
  
  # 不需要LDAPS场景，直接正常启动即可
  docker run your-quarkus-app:latest
  

  这种方式对代码零侵入，也不需要重新构建镜像，完全满足运行时可选配置的需求。
• 代码层面自定义LDAP专属SSL上下文，不依赖全局JVM配置
  如果你不想修改JVM全局的信任存储规则，可以在初始化LDAP连接的逻辑中，单独加载指定路径的信任库，生成仅用于LDAP连接的SSLContext，不影响应用内其他HTTPS/SSL请求的证书校验逻辑。
  你可以自己定义Quarkus运行时配置项来指定信任库路径和密码，比如在application.properties中添加：

  # 自定义LDAPS配置，不需要启用时留空即可
  custom.ldap.trust-store-path=
  custom.ldap.trust-store-password=
  

  代码中判断如果配置了信任库路径，就加载该文件生成SSL套接字工厂传给LDAP连接构造器；如果未配置，就走普通LDAP连接逻辑。
• 补充说明
  目前Quarkus核心没有提供全局统一的专属配置项来替代javax.net.ssl.trustStore这类JVM系统属性，各个扩展的SSL配置是独立维护的，LDAP相关扩展暂未单独暴露信任库配置参数，因此全局系统属性是侵入性最低的实现方式，配合容器环境变量注入完全可以满足你不修改Dockerfile、按需启用LDAPS的需求。

内容的提问来源于stack exchange，提问作者Marco