Rest-Assured带证书发HTTPS请求返回403错误的解决方法

常见问题原因 #

• 配置未实际生效：代码仅创建了SSLConfig实例，未将其注册到RestAssured全局配置中，发起请求时不会携带客户端证书，服务端双向认证校验失败直接返回403。
• 证书路径写法错误：代码中Windows路径的反斜杠未做转义，Java无法识别C:\Users\username\Downloads\Certificate.p12这类未转义的路径，导致证书文件找不到。
• 异常被静默吞掉：keystore加载的catch块仅打印日志未中断流程，一旦出现路径错误、密码错误、证书损坏等问题，会直接导致keystore加载失败，后续SSL配置完全不生效。
• 证书转换异常：pfx转p12过程中操作不当丢失私钥，生成的p12文件仅包含公钥证书，不满足双向SSL认证必须携带客户端私钥的要求。
• 依赖API兼容问题：使用的org.apache.http.conn.ssl.SSLSocketFactory是已废弃的旧版Apache HttpClient API，和高版本RestAssured存在兼容问题，会导致证书配置不生效。
• 信任库配置缺失：如果服务端使用自签名证书或私有CA签发证书，默认系统信任库不信任服务端证书，会导致SSL握手异常，最终被服务端拦截返回403。
• 证书本身权限问题：客户端证书已过期、未被服务端加入信任列表、没有目标接口的访问权限，同样会返回403。

修复方案 #

1. 先校验p12证书有效性
   执行以下keytool命令检查keystore内容，确认输出中存在PrivateKeyEntry类型的条目：

   keytool -list -v -keystore C:\Users\username\Downloads\Certificate.p12 -storetype PKCS12
   

   如果输出中只有trustedCertEntry条目，说明p12转换时丢失了私钥，需要重新转换，转换时必须确保将原pfx中的私钥一同导出。
2. 替换废弃API，补全配置逻辑，不要静默吞异常，参考以下可直接运行的代码：

   import io.restassured.RestAssured;
   import io.restassured.config.SSLConfig;
   import org.apache.http.ssl.SSLContexts;
   import javax.net.ssl.SSLContext;
   import java.io.FileInputStream;
   import java.security.KeyStore;
   
   public class CertRequestTest {
       public static void main(String[] args) throws Exception {
           // 证书参数
           String certPath = "C:\\Users\\username\\Downloads\\Certificate.p12"; // 注意反斜杠转义
           char[] certPassword = "你的证书实际密码".toCharArray();
   
           // 加载客户端p12证书，不要吞异常，加载失败直接抛出终止流程
           KeyStore keyStore = KeyStore.getInstance("PKCS12");
           try (FileInputStream fis = new FileInputStream(certPath)) {
               keyStore.load(fis, certPassword);
           }
   
           // 构建SSL上下文
           SSLContext sslContext = SSLContexts.custom()
                   .loadKeyMaterial(keyStore, certPassword) // 加载客户端证书做双向认证
                   .loadTrustMaterial(null, (chain, authType) -> true) // 测试环境可临时跳过服务端证书校验，生产环境请替换为实际信任库配置
                   .build();
   
           // ！！！一定要将SSL配置注册到RestAssured全局配置，否则配置不生效
           RestAssured.config = RestAssured.config()
                   .sslConfig(new SSLConfig()
                           .sslContext(sslContext)
                           .allowAllHostnames());
   
           // 发起GET请求测试，可打印全量日志排查问题
           RestAssured.given()
                   .log().all()
                   .when()
                   .get("你的目标HTTPS接口地址")
                   .then()
                   .log().all()
                   .statusCode(200);
       }
   }
   

3. 如果配置调整后仍返回403，联系服务端管理员确认以下信息：
   • 客户端证书是否已加入服务端信任列表
   • 证书是否在有效期内
   • 该证书是否拥有目标接口的访问权限

注意：代码中跳过服务端证书校验的逻辑仅适用于测试环境，生产环境请加载专门的信任库存储服务端证书，不要直接信任所有证书，避免SSL中间人攻击风险。

内容的提问来源于stack exchange，提问作者Muhammed Atef