使用JSoup爬取网页报PKIX path building failed SSL握手异常反复排查

• 目标站点证书短周期轮转：当前很多站点会使用短生命周期SSL证书（部分云厂商、CDN提供的证书有效期最短可至数小时），你导入的是站点的叶子证书，证书到期轮转后旧证书自动失效，就会再次触发PKIX报错。
• 多Java环境冲突：你导入证书的JDK11并非实际运行Java应用的环境，比如应用实际调用了独立JRE、其他版本JDK的cacerts信任库，或者Java自动更新后替换了默认的cacerts文件，导致之前导入的证书丢失。
• 域环境策略重置：如果设备加入了企业域，组策略会定期重置系统受信任根证书列表、Java默认信任库配置，覆盖你手动导入的证书。
• 导入证书类型错误：你导入的是站点叶子证书而非根CA/中间CA证书，站点更换叶子证书后，旧证书的信任链自然失效。

1. 优先导入根/中间CA证书：通过Chrome浏览器查看站点证书链，导出根CA、中间CA证书后再导入Java信任库，CA证书有效期通常为5-10年，不会频繁轮转。
2. 确认应用运行的Java环境：给应用添加启动参数-Djavax.net.debug=ssl,handshake，运行后查看SSL日志中的信任库加载路径，确认和你导入证书的cacerts路径一致。
3. 使用自定义信任库：复制系统默认cacerts文件到独立目录，导入证书后给应用添加启动参数指定自定义信任库，避免系统更新/组策略覆盖：

-Djavax.net.ssl.trustStore="C:\custom\path\mycacerts"
-Djavax.net.ssl.trustStorePassword=changeit

4. 代码层面适配证书校验（仅测试场景可用，生产环境不推荐）：给JSoup配置信任所有证书的SSL上下文，规避信任链校验报错，示例代码如下：

// 初始化信任所有证书的SSL上下文
TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {
        public java.security.cert.X509Certificate[] getAcceptedIssuers() {
            return new X509Certificate[0];
        }
        public void checkClientTrusted(
            java.security.cert.X509Certificate[] certs, String authType) {
        }
        public void checkServerTrusted(
            java.security.cert.X509Certificate[] certs, String authType) {
        }
    }
};
SSLContext sc = SSLContext.getInstance("SSL");
sc.init(null, trustAllCerts, new java.security.SecureRandom());

// JSoup使用自定义SSL上下文发起请求
Connection.Response response = Jsoup.connect("https://www.test.store/us/")
    .sslSocketFactory(sc.getSocketFactory())
    .method(Connection.Method.GET)
    .execute();

内容的提问来源于stack exchange，提问作者Kevin Valdez