Java使用HttpsURLConnection访问HTTPS链接返回403错误如何解决

首先明确：你抛出的异常里已经拿到了服务端返回的403状态码，说明SSL连接已经握手成功，证书不信任不会触发这个报错——如果是证书问题，会直接在握手阶段抛出SSLHandshakeException，根本不会走到HTTP响应解析的步骤。浏览器能访问但Java请求返回403，90%以上的原因是服务端拦截了非浏览器客户端的请求，按下面的顺序排查即可：

1. 补全浏览器标准请求头 #

HttpsURLConnection默认发送的请求头非常少，且默认的User-Agent是Java/版本号格式，绝大多数站点的WAF/反爬策略会直接拦截这类标识的请求。
在拿到连接对象后、调用con.getInputStream()之前，添加如下配置模拟浏览器请求：

// 模拟Chrome浏览器的请求头，可直接从自己浏览器的请求头里复制实际值
con.setRequestProperty("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.0.0 Safari/537.36");
con.setRequestProperty("Accept", "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8");
con.setRequestProperty("Accept-Language", "zh-CN,zh;q=0.9,en;q=0.8");
con.setRequestProperty("Connection", "keep-alive");

加完后直接测试，大部分场景下这一步就能解决403问题。如果还是报错，再往下排查。

2. 对比浏览器请求补全缺失参数 #

打开浏览器的F12开发者工具，切换到网络面板，找到访问https://test.com的那条请求，和你Java代码发的请求做对比：

• 检查是否有必填的Cookie、Referer请求头，部分站点会校验请求来源或者登录态cookie，缺失就会返回403
• 检查请求方法是否正确，部分站点对GET/POST的校验很严格，默认的HttpsURLConnection如果是POST请求没显式设置请求方法也可能被拦截
• 对照补全所有缺失的非动态请求头即可。

关于证书安装问题的补充说明 #

你在IE中安装的证书只会给浏览器和调用系统证书库的应用用，Java不会读取Windows系统证书存储，它默认使用自己安装目录下的cacerts文件作为信任库：

• JDK8及之前版本路径：%JAVA_HOME%/jre/lib/security/cacerts
• JDK9及之后版本路径：%JAVA_HOME%/lib/security/cacerts

如果后续遇到SSL握手报错（不是当前的403问题），可以按下面步骤导入证书：

1. 从浏览器导出站点的DER格式证书，保存为本地文件比如test.cer
2. 用管理员权限打开命令行，执行keytool命令导入：

keytool -import -alias test-site -file 你的证书路径\test.cer -keystore "你的cacerts文件完整路径" -storepass changeit

3. 命令执行后输入y确认，重启Java程序即可生效。

注意：网上流传的「信任所有证书」的代码片段仅适合本地临时调试，会完全跳过SSL证书校验，存在严重的中间人攻击风险，绝对禁止在生产环境使用。

内容的提问来源于stack exchange，提问作者Mario Rovelli