OpenJDK17+Micronaut自定义truststore不生效报Inaccessible trust store

Inaccessible trust store 报错和最终回退加载JDK默认cacerts的核心原因有两点：

• 你配置的javax.net.ssl.trustStore值是相对路径truststore.jks。JDK内置的TrustStoreManager加载信任库时不会主动扫描classpath或项目目录，只会直接按传入路径读取文件系统：当传入相对路径时，JVM会从程序启动时的工作目录（即user.dir系统属性对应的路径）下查找文件，找不到文件、当前运行用户无文件读权限时，不会抛出启动错误，会静默回退加载JDK安装目录下的默认cacerts文件，和你日志里打印的加载路径完全匹配。
• 你通过System.getProperty打印属性值只能证明系统属性键值对设置成功，完全不代表JVM真的加载到了对应路径的信任库——这个方法不会做任何文件存在性、可读性校验，属于无效验证。
• Citrix虚拟机的权限限制不影响自定义信任库使用，只要你把信任库文件放在当前运行账号有读权限的目录即可，不需要修改JDK目录下的默认cacerts。

方案1：修正全局系统属性配置（最快生效） #

不管是通过JVM启动参数还是Micronaut配置文件设置系统属性，都把信任库路径改为文件系统绝对路径，避免相对路径寻址错误：

• JVM启动参数示例（Windows环境）：

java -Djavax.net.ssl.trustStore=C:\apps\my-service\config\truststore.jks -Djavax.net.ssl.trustStorePassword=你的信任库密码 -jar your-service.jar

• application.yml配置示例：

system-properties:
  javax.net.ssl.trustStore: C:/apps/my-service/config/truststore.jks
  javax.net.ssl.trustStorePassword: 你的信任库密码

注意Windows路径中的反斜杠要么做转义处理，要么直接替换为正斜杠，避免转义字符导致路径识别失败。配置完成后重启应用，查看SSL调试日志，确认没有Inaccessible trust store报错、且打印的信任库路径是你配置的自定义路径，即代表加载成功。

方案2：使用Micronaut原生客户端SSL配置（更推荐） #

全局系统属性会影响JVM内所有SSL连接的信任逻辑，Micronaut原生支持为指定HTTP客户端单独配置信任库，不需要修改全局属性，还支持直接加载classpath内打包的信任库文件，适配多环境部署更灵活：

micronaut:
  http:
    services:
      gitlab-api: # 对应你用来调用GitLab接口的服务客户端名称
        url: https://gitlab.com
        ssl:
          trust-store:
            # 支持file:前缀指定磁盘绝对路径，也支持classpath:前缀加载jar包内resources目录下的信任库
            path: classpath:truststore.jks
            password: 你的信任库密码

用classpath方式加载时，只需要把truststore.jks放在项目src/main/resources目录下，打包时会自动带入jar包，不需要在部署服务器上额外维护文件路径。

配置完成后不需要通过System.getProperty校验，直接看SSL调试日志：当日志输出trustStore is: 你配置的自定义信任库路径、且无Inaccessible trust store报错时，再发起HTTPS调用就不会出现PKIX路径构建失败的SSL异常。

内容的提问来源于stack exchange，提问作者yashashri-tw