keytool不识别-cacerts参数时如何配置Maven信任证书

你遇到的unknown Option: -cacerts报错是因为当前Maven使用的JDK版本较低，keytool的-cacerts快捷参数是高版本JDK才加入的特性，旧版本JDK必须通过-keystore参数手动指定cacerts信任库的完整路径。

1. 定位Maven实际使用的JDK路径 #

执行以下命令查看Maven运行时绑定的JDK信息，不要直接使用系统环境变量里的JAVA_HOME路径（多JDK环境下很可能和Maven实际加载的不一致）：

mvn -v

命令输出中runtime:后面的路径就是Maven实际使用的JRE/JDK根目录，示例输出片段：

Apache Maven 3.8.6
Java version: 1.8.0_352, vendor: Eclipse Adoptium, runtime: C:\Program Files\Eclipse Adoptium\jdk8u352-b08\jre

2. 找到对应JDK下的cacerts信任库路径 #

cacerts是JDK内置的全局根证书信任库，路径规则和JDK版本、操作系统有关：

• JDK 8及更早版本：信任库路径为<上一步拿到的runtime路径>/lib/security/cacerts
  比如上面Windows示例的路径就是C:\Program Files\Eclipse Adoptium\jdk8u352-b08\jre\lib\security\cacerts
• JDK 9及更高版本：信任库路径为<上一步拿到的runtime路径>/lib/security/cacerts（没有外层jre目录）

所有JDK默认的cacerts密钥库密码都是changeit，除非你手动修改过。

3. 执行证书导入命令 #

把原命令里的-cacerts参数替换为-keystore <cacerts文件的完整路径>即可，注意根据操作系统给命令加足够权限：

• Windows：用管理员身份打开命令提示符/PowerShell再执行命令，避免权限不足无法写入信任库
• Linux/macOS：在命令前加sudo提权执行

示例命令（Windows JDK8环境）：

keytool -importcert -alias maven-repo-cert -file D:\certs\repo.cer -keystore "C:\Program Files\Eclipse Adoptium\jdk8u352-b08\jre\lib\security\cacerts" -storepass changeit

执行后命令行提示是否信任证书时，输入yes回车完成导入。

4. 验证导入结果 #

执行以下命令可以检查证书是否成功写入信任库：

keytool -list -alias maven-repo-cert -keystore "C:\Program Files\Eclipse Adoptium\jdk8u352-b08\jre\lib\security\cacerts" -storepass changeit

能查询到对应证书条目就说明导入成功，直接重新执行Maven依赖拉取命令即可正常访问HTTPS仓库。

• 不要随意找其他JDK路径下的cacerts导入，必须以mvn -v输出的runtime路径为准，多JDK环境、IDEA内置Maven场景下很容易导错位置导致不生效
• 路径包含空格的时候一定要用英文双引号把cacerts路径包起来，不然命令会解析失败
• 导入完成不需要重启电脑或重启终端，直接重跑Maven命令即可

内容的提问来源于stack exchange，提问作者ngong