Java向HTTP服务器发起GET请求出现PKIX路径构建失败报错

根因说明 #

你遇到的报错是Java运行时的SSL证书校验失败，触发原因是学校Netspark防火墙开启了HTTPS流量中间人检测，会替换所有HTTPS请求的证书链，Java默认信任库没有收录防火墙的中间人根证书所以校验不通过，个人网络无同类中间人拦截因此运行正常。

你收到的报错信息为：

Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

具体配置步骤 #

• 第一步：导出Netspark根证书
  用浏览器访问你要请求的歌曲资源的HTTPS地址，点击地址栏的锁形图标→「证书」→「详细信息」，在证书层级中选择最顶层的根证书（颁发者名称一般带Netspark标识），导出为DER编码的.cer格式文件，命名为netspark_root.cer。
• 第二步：定位对应Java环境的信任库文件
  找到你程序运行所用的Java环境路径，默认信任库位置为：
  • Linux/macOS：$JAVA_HOME/jre/lib/security/cacerts
  • Windows：C:\Program Files\Java\<jdk/jre版本目录>\jre\lib\security\cacerts
    信任库默认密码为changeit。
• 第三步：执行证书导入命令
  打开终端（Windows需以管理员身份启动CMD/PowerShell，Linux/macOS需加sudo前缀获取权限），执行以下命令：

  keytool -import -alias netspark_root -file <netspark_root.cer的完整路径> -keystore <cacerts文件的完整路径>
  

  输入信任库密码changeit，后续提示是否信任证书时输入yes回车确认。
• 第四步：验证导入结果
  执行以下命令确认证书已成功导入：

  keytool -list -alias netspark_root -keystore <cacerts文件的完整路径>
  

  能正常输出Netspark证书信息即为配置成功。

常见配置失败排查项 #

• 环境路径匹配错误：若程序使用独立JRE运行，需将证书导入对应JRE的信任库，而非JDK目录下的信任库
• 权限不足：执行keytool命令时无对应文件修改权限，会出现写入失败的静默报错
• 证书导出错误：不可导出站点的叶子证书，必须导出最顶层的Netspark根证书才能完成完整证书链校验
• 自定义信任库配置：若程序启动参数中指定了-Djavax.net.ssl.trustStore自定义信任库路径，需将证书导入该自定义信任库而非默认cacerts

临时验证方案 #

若不需要全局修改Java信任库，可在程序启动时添加以下JVM参数，指定使用导入证书后的信任库：

-Djavax.net.ssl.trustStore=<cacerts文件的完整路径> -Djavax.net.ssl.trustStorePassword=changeit

内容的提问来源于stack exchange，提问作者Alex Irving