Java连接TLSv1.3服务报SSL peer shut down incorrectly问题咨询

核心结论 #

按照TLS协议设计规范，TLSv1.3服务端默认是向下兼容TLSv1.2客户端的，但前提是服务端没有主动关闭TLSv1.2协商支持。你当前遇到的握手失败报错，本质是客户端TLS配置错误+JDK版本支持限制，导致无法和升级后的服务端完成版本协商。

报错根因拆解 #

• 代码配置错误：你在SSLConnectionSocketFactory中传入的启用协议列表是new String[] { "TLS" }，这个泛化配置在OpenJDK8中不会自动拉起所有支持的TLS子版本，实际协商时只会尝试TLSv1.2，无法适配更高版本。
• JDK版本限制：OpenJDK8从8u261版本开始才默认支持TLSv1.3，如果你当前使用的OpenJDK8版本低于这个版本号，就算配置里写了TLSv1.3也无法完成协商。
• 服务端配置可能性：你用curl测试拿到的TLSv1.3连接结果，是curl自身支持高版本协议协商得到的，不代表服务端还保留了TLSv1.2的接入能力。如果服务端升级后完全禁用了TLSv1.2、仅允许TLSv1.3接入，不支持1.3的客户端必然会在握手阶段被服务端直接断开连接，抛出你看到的SSLHandshakeException: Remote host closed connection during handshake和EOFException: SSL peer shut down incorrectly异常。
• 补充说明：你之前将站点证书导入JRE密钥库的操作和本次报错无关，当前异常发生在TLS握手的版本协商阶段，还没走到证书校验流程，不需要调整证书相关配置。

可落地解决方案 #

场景1：服务端仍保留TLSv1.2兼容支持 #

如果和服务端确认后，只是新增了TLSv1.3支持、没有关闭TLSv1.2接入，只需要修正TLS配置代码即可，不需要升级JDK：
将原有getTLS()方法中的协议配置从泛化的"TLS"改为明确指定支持的版本列表：

public HttpClient getTLS() throws KeyManagementException, 
    UnrecoverableKeyException, NoSuchAlgorithmException, KeyStoreException {
        SSLContext sSLContext = SSLContext.getInstance("TLS");
        sSLContext.init(null, null, null);
        SSLConnectionSocketFactory sslsf = new SSLConnectionSocketFactory(
                sSLContext,
                // 明确指定支持的TLS版本，禁止使用泛化的"TLS"配置
                new String[] { "TLSv1.2", "TLSv1.3" },
                null,
                SSLConnectionSocketFactory.getDefaultHostnameVerifier());
        return HttpClients.custom().setSSLSocketFactory(sslsf).build();   
}

配置修改后，客户端会优先尝试协商TLSv1.3，不支持的话自动降级到TLSv1.2，只要服务端开着1.2兼容就能正常连接。

场景2：服务端已强制仅允许TLSv1.3接入 #

如果服务端已经完全关闭TLSv1.2支持，必须使用TLSv1.3连接，二选一处理即可：

• 优先升级JDK：将OpenJDK8升级到8u261及以上的小版本，或者直接升级到OpenJDK 11/17等长期支持版本，这些版本默认内置TLSv1.3支持，配合上面修正后的配置代码即可正常连接，改造成本最低。
• 不升级JDK的话，可以引入BouncyCastle等第三方TLS实现替换JDK默认的JSSE组件，不过这种方案配置复杂度高，容易引入其他兼容性问题，非特殊场景不推荐使用。

内容的提问来源于stack exchange，提问作者Nidheesh