为何服务器上所有已安装JDK版本的truststore内容完全一致？

• 所有JDK的cacerts为共享链接文件
  为了统一管理证书，服务器管理员通常会将所有JDK安装路径下的<jdk-root>/lib/security/cacerts文件设置为软链接或硬链接，指向系统中同一个公共信任库文件（例如RHEL/CentOS系统默认的/etc/pki/java/cacerts）。此时修改任意路径下的cacerts，本质都是修改同一个源文件，因此所有JDK目录下的信任库内容会自动同步。
  你可以执行ls -l <jdk-root>/lib/security/cacerts验证，如果是软链接会直接显示指向的源文件路径；如果是硬链接，执行stat <cacerts路径>查看inode号，所有JDK的cacerts文件inode号完全一致即可确认。

• 系统全局证书同步机制触发更新
  主流Linux发行版（如RHEL、CentOS、Fedora等）默认自带update-ca-trust证书管理工具，该工具会监控系统证书库的变更，一旦检测到新证书导入，会自动将新证书同步到所有已安装JDK的cacerts文件中，无需手动逐个更新。

• 自定义信任库加载逻辑实现热生效
  JDK默认机制下信任库会在JVM启动时一次性加载完成，修改后需要重启JVM生效。你遇到的无需重启即可生效的情况，有两种常见可能：

  1. 服务器的全局Java安全配置（jre/lib/security/java.security）或者Tomcat启动参数中，配置了自定义的信任库动态刷新逻辑，会定时重新读取信任库内容；
  2. 业务应用自定义实现了X509TrustManager证书校验逻辑，每次SSL握手时都会实时读取最新的信任库内容，而非复用JVM启动时加载的静态信任数据。

内容的提问来源于stack exchange，提问作者user17308363