SYSTOOLS.HTTPGETCLOB证书错误 定时运行报SQL4302如何修复？

你遇到的SQL4302错误关联的PKIX path building failed提示，本质是Java运行环境未加载目标HTTPS站点的SSL信任证书链，导致SSL握手失败。交互/调试模式正常、定时调度异常的核心原因是两种运行场景使用的Java信任库不统一：交互模式通常读取当前登录用户的自定义信任库，而定时调度默认使用IBM i系统级的Java全局信任库，后者未导入目标站点证书。

修复步骤 #

• 第一步：导出目标站点的SSL证书链
  使用浏览器访问目标HTTPS地址，点击地址栏的安全锁标识，选择「查看证书」，依次导出根证书、中间证书为Base64编码的X.509格式（.cer后缀），将证书文件上传到IBM i的IFS目录，例如/tmp/certs/下。
• 第二步：确认系统Java信任库路径
  DB2 for i的SYSTOOLS.HTTP*类函数默认使用系统级Java信任库，根据你使用的Java版本对应路径如下：
  • JDK 8 64位：/QOpenSys/QIBM/ProdData/JavaVM/jdk80/64bit/jre/lib/security/cacerts
  • JDK 11 64位：/QOpenSys/QIBM/ProdData/JavaVM/jdk11/64bit/conf/security/cacerts
    信任库默认密码为changeit。
• 第三步：导入证书到系统信任库
  进入IBM i的QSH或者PASE执行环境，运行keytool命令完成证书导入，根证书、中间证书分别执行一次（注意替换别名和证书文件路径）：

  keytool -importcert -file /tmp/certs/目标站点根证书.cer -alias 站点标识_root -keystore 你的信任库路径 -storepass changeit
  

  执行时出现「是否信任此证书?」的提示，输入yes确认导入成功。
• 第四步：验证修复效果
  执行SQL语句直接调用HTTPGETCLOB测试连通性：

  SELECT SYSTOOLS.HTTPGETCLOB('你的目标HTTPS接口地址', '') FROM SYSIBM.SYSDUMMY1
  

  接口正常返回数据即说明证书导入成功，再运行定时调度任务确认不再报错。

注意事项 #

• IBM i系统Java版本升级后，全局信任库会被重置，需要重新导入自定义证书。
• 如果不想修改全局信任库，可以自定义封装HTTPGETCLOB函数，通过JVM参数javax.net.ssl.trustStore指定自定义信任库路径，避免影响其他系统应用。
• 如果调度任务指定了特定运行用户，需要确认该用户对信任库文件有读取权限。

内容的提问来源于stack exchange，提问作者Nifriz