Java 11 SSL握手抛出客户端空证书链异常而非预期服务端异常

你遇到的异常信息差异是OpenJDK版本迭代中的官方文案修正导致的：
Java 8及更早版本的SunJSSE实现存在文案笔误，当服务端开启needClientAuth=true、客户端未提供合法证书时，抛出的异常信息错误将client标注为server，输出了不符合实际场景的Empty [server] certificate chain。该笔误在JDK 9及后续版本（包含你使用的Java 11）中被官方修复，修正为符合实际触发逻辑的Empty [client] certificate chain。
你的业务逻辑本身没有问题，Java 8测试通过是依赖了官方的错误文案，Java 11的输出才是符合实际场景的正确描述。

• 新增JSSE调试参数启动测试，确认握手流程符合预期：启动时添加JVM参数 -Djavax.net.debug=ssl:handshake:verbose，观察握手日志中是否存在服务端发送CertificateRequest报文、客户端回复的Certificate报文长度为0的记录，即可确认异常确实是客户端未提供证书触发。
• 反向验证文案准确性：临时移除服务端配置的合法证书，重新运行测试，此时服务端本身缺少证书触发的异常会明确标注[server]字段，可区分两种不同的证书缺失场景。

• 优先调整测试判断逻辑，不要依赖不稳定的官方异常字符串做断言：改为判断异常类型是否为SSLHandshakeException，或者结合异常栈的调用类（sun.security.ssl.ServerHandshaker等）判断异常触发环节，兼容性更强。
• 如果必须保留字符串匹配逻辑，同时兼容两个版本的文案即可，判断异常信息同时匹配Empty [server] certificate chain或Empty [client] certificate chain即判定为符合预期。

内容的提问来源于stack exchange，提问作者sbeven