Azure部署Open Liberty调用Salesforce HTTPS API遇SSL握手失败求助

我来帮你排查这个SSLHandshakeException的问题，结合你用的Open Liberty（基于IBM JDK）和Azure Docker环境，核心问题大概率出在证书信任链的配置上，咱们一步步来解决：

一、先明确错误核心 #

你遇到的Received fatal alert: handshake_failure在IBM JSSE环境里，最常见的原因是：

• 应用的信任库没有包含Salesforce完整的证书链（根CA+中间CA）
• 证书导入的方式不符合IBM JDK的要求
• TLS协议/密码套件不匹配Salesforce的要求

二、正确获取Salesforce的完整证书链 #

Salesforce的API域名（比如login.salesforce.com或你的自定义域名）使用的是多级证书链，只导出服务器证书是不够的，必须获取完整链：

• 方法1：浏览器导出：打开Salesforce API域名，点击地址栏的锁图标 → 证书 → 详细信息 → 复制到文件，选择「Base64编码的X.509(.CER)」，然后在证书路径里依次导出根CA和中间CA，合并成一个.crt文件。
• 方法2：OpenSSL命令导出：在Docker容器里（或本地）执行：

  openssl s_client -connect your-salesforce-api-domain:443 -showcerts > salesforce-chain.crt
  

  然后编辑这个文件，保留从-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----的所有证书块。

三、将证书导入Open Liberty的信任库 #

Open Liberty默认使用自己的PKCS12格式信任库，路径在Docker镜像里是/opt/ol/wlp/usr/resources/security/trust.p12，默认密码是WebAS：

1. 把刚才生成的salesforce-chain.crt放到容器的/opt/ol/wlp/usr/resources/security/目录下（可以通过Docker挂载或构建镜像时复制）。
2. 使用IBM JDK自带的keytool导入证书（不要用Oracle的keytool，参数有差异）：

   keytool -importcert -file /opt/ol/wlp/usr/resources/security/salesforce-chain.crt -alias salesforce-root -keystore /opt/ol/wlp/usr/resources/security/trust.p12 -storetype PKCS12 -storepass WebAS -noprompt
   

   • -noprompt参数会自动信任证书，避免交互操作，适合Docker构建时使用。

四、配置Open Liberty使用信任库 #

确保你的server.xml里有正确的SSL配置，指定使用刚才更新的信任库：

<!-- 默认SSL配置 -->
<ssl id="defaultSSLConfig" trustStoreRef="defaultTrustStore" sslProtocol="TLSv1.2" />
<!-- 信任库配置 -->
<keyStore id="defaultTrustStore" 
          location="${wlp.user.dir}/resources/security/trust.p12" 
          type="PKCS12" 
          password="WebAS" />

• 明确指定sslProtocol="TLSv1.2"，因为Salesforce已经不再支持TLS 1.0/1.1。

五、Docker部署的特殊注意事项 #

如果是通过Dockerfile构建镜像，把证书导入步骤整合进去：

# 复制证书到镜像内
COPY salesforce-chain.crt /opt/ol/wlp/usr/resources/security/
# 导入证书到信任库
RUN keytool -importcert -file /opt/ol/wlp/usr/resources/security/salesforce-chain.crt -alias salesforce-root -keystore /opt/ol/wlp/usr/resources/security/trust.p12 -storetype PKCS12 -storepass WebAS -noprompt

• 确保容器内的用户（默认是1001）对trust.p12有读权限，否则Open Liberty无法加载证书。

六、调试验证 #

如果还是有问题，开启SSL调试日志来定位细节：
在server.xml里添加日志配置：

<logging traceSpecification="com.ibm.ws.security.ssl.*=all" />

重启服务后，查看日志里的SSL握手流程，你可以看到：

• 信任库是否加载了Salesforce的证书
• 双方协商的TLS协议和密码套件是否匹配
• 是否有证书链验证失败的具体信息

内容的提问来源于stack exchange，提问作者user42012