Java 11 SSL握手实现是否会校验信任库过期时间？

核心结论 #

sun.security.ssl.SSLSocketImpl#startHandshake方法本身不会直接校验信任库（truststore）文件本身的过期属性，但是握手流程中委托执行的PKIX证书路径校验，会检查信任库内存储的受信证书的有效期，是否导致握手失败要分具体场景判断，不存在“Java完全不校验导致必然失败/必然不失败”的绝对结论。

startHandshake 核心执行逻辑 #

这个方法是SSL/TLS握手的入口触发点，核心逻辑分为几块：

• 重置握手状态标记，初始化握手输入输出流，首先检查当前SSL会话是否有效、是否满足会话复用条件
• 如果命中会话复用，直接走简化的会话恢复握手流程，不会重新对对端证书做完整的证书链校验
• 如果需要走完整握手，会按协商的TLS版本顺序交互协议消息：客户端侧发送ClientHello，接收并处理服务端返回的ServerHello、证书链、ServerHelloDone消息，在处理服务端证书消息时，会把证书链传入初始化时加载的X509TrustManager实现类做合法性校验，校验通过后再继续后续密钥交换、Finished消息交互流程，直到握手完成
• 方法本身不内嵌任何证书校验、信任库检查的逻辑，所有和信任相关的校验全部委托给TrustManager实现执行。

不同「信任库过期」场景的校验结果 #

通常说的「信任库过期」是两类完全不同的情况，对应的握手结果差异很大：

• 场景1：信任库文件本身过期/访问权限到期
  Java默认提供的SunX509、PKIX TrustManager实现，只会在SSLContext初始化阶段一次性读取、加载信任库中的受信证书条目，加载过程仅校验信任库密码是否正确、文件格式是否合法，不会检查信任库文件自身的有效期标记（部分第三方信任管理工具、硬件密钥管理系统会给信任库文件/访问凭证设置有效期，Java默认实现不识别这类标记）。只要初始化时信任库能正常加载，后续握手流程不会再回读磁盘上的信任库文件，也不会检查文件本身的有效性，这类“过期”不会直接导致SSL握手失败。
• 场景2：信任库中存储的受信根证书/中间证书条目过期
  这是PKIX证书路径校验的强制检查项：在完整握手的证书校验环节，TrustManager会对对端返回的证书链做完整路径验证，包括链上所有证书（含用来锚定信任链的、存储在信任库中的根证书）的有效期校验，如果对应信任锚的时间已经超出证书自身的notAfter时间，会直接抛出证书过期异常，终止握手流程，最终抛出的异常通常为sun.security.validator.ValidatorException: PKIX path validation failed: java.security.cert.CertificateExpiredException。

补充说明 #

由于信任库仅在SSLContext初始化时加载一次，应用运行过程中如果磁盘上的信任库文件被替换、过期、删除，只要没有重新初始化SSLContext、重建SSLSocketFactory，正在运行的SSL握手流程完全感知不到信任库的变化，不会触发相关报错。

内容的提问来源于stack exchange，提问作者user10133391