Apache HttpClient 4.5.13配置SSL客户端证书报错问题咨询

• 第一种写法报错核心原因：.cer是单独的X.509公钥证书文件，不是JKS/PKCS12格式的密钥库容器。密钥库是可存储多份密钥、证书条目的加密容器，和单证书文件结构完全不同，直接用密钥库加载方法读取.cer文件必然触发格式错误。
• 第二种写法报错核心原因：逻辑完全倒置：你初始化空密钥库后，反而把空内容写回覆盖了原.cer证书文件，全程没有将服务端证书导入信任库；另外loadKeyMaterial方法用于加载客户端私钥+证书链（仅双向SSL认证场景需要），你当前是要信任服务端证书，应该操作信任材料（trustMaterial）而非密钥材料；未导入证书的前提下，TrustSelfSignedStrategy无法匹配到对应证书，自然不会生效，最终触发PKIX证书路径校验失败。

你当前是调用HTTPS接口、需要信任服务端自签名证书的单向认证场景，按以下代码实现即可：

import org.apache.http.conn.ssl.SSLConnectionSocketFactory;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.ssl.SSLContexts;
import javax.net.ssl.SSLContext;
import java.io.FileInputStream;
import java.io.InputStream;
import java.security.KeyStore;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

public class SslHttpClientUtil {
    public static CloseableHttpClient buildTrustedHttpClient() throws Exception {
        // 读取导出的X.509格式.cer证书
        CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
        try (InputStream certStream = new FileInputStream("D:\\certificate\\some.cer")) {
            X509Certificate serverCert = (X509Certificate) certFactory.generateCertificate(certStream);
            
            // 初始化空信任库，导入服务端可信证书
            KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
            trustStore.load(null, null);
            trustStore.setCertificateEntry("api-server-cert", serverCert);

            // 构建SSL上下文，仅加载信任材料，单向认证不需要加载客户端密钥
            SSLContext sslContext = SSLContexts.custom()
                    .loadTrustMaterial(trustStore, null)
                    .build();

            // 配置支持的TLS版本，构建客户端
            SSLConnectionSocketFactory socketFactory = new SSLConnectionSocketFactory(
                    sslContext,
                    new String[]{"TLSv1.2", "TLSv1.3"},
                    null,
                    SSLConnectionSocketFactory.getDefaultHostnameVerifier()
            );

            return HttpClients.custom()
                    .setSSLSocketFactory(socketFactory)
                    .build();
        }
    }
}

补充说明 #

• 如果是双向SSL认证场景（服务端要求校验客户端身份），你需要直接加载原始的.ks密钥库（必须包含客户端私钥）作为keyMaterial，单独导出的.cer公钥证书不包含私钥，无法作为密钥材料使用。
• 生产环境禁止配置跳过所有证书校验的策略，必须将服务端正式证书导入信任库完成合法性校验，避免中间人攻击风险。
• Windows环境下文件路径的反斜杠需要做转义处理，写成\\避免被识别为转义字符。

内容的提问来源于stack exchange，提问作者lalit lakhchaura