如何排查Java 8应用未默认使用TLSv1.2的问题

为什么Java 8默认启用TLSv1.2但实际请求用TLSv1.0 #

有三类常见原因：

• 代码中使用的HTTP客户端框架手动覆盖了默认TLS版本：比如旧版本的Apache HttpClient、OkHttp，或者代码手动初始化SSLContext时指定了仅支持TLSv1.0，优先级高于JDK默认配置
• 启动参数或JRE全局配置被修改：比如启动命令里已经存在-Dhttps.protocols=TLSv1的配置，或者jre/lib/security/java.security文件中禁用了TLSv1.2
• 依赖的第三方组件硬编码了TLS版本：部分旧的业务SDK、中间件客户端会固定指定使用TLSv1.0，不受JDK默认配置控制

排查步骤（从易到难，新人可直接操作） #

第一步：先通过启动参数快速验证 #

直接在应用的Java启动命令中加入以下两个参数，重启后抓包验证：

-Dhttps.protocols=TLSv1.2
-Djdk.tls.client.protocols=TLSv1.2

如果调整后请求已经使用TLSv1.2，说明是默认配置被覆盖的问题，保留这两个启动参数即可。

第二步：检查代码中的HTTP客户端配置 #

全局搜索代码中的以下关键词，排查是否有硬编码TLS版本的逻辑：

• SSLContext.getInstance
• SSLConnectionSocketFactory
• TLSv1/TLSv1.0

如果找到类似下面的错误写法，调整即可：

// 错误写法：硬编码仅支持TLSv1.0
SSLContext sslContext = SSLContext.getInstance("TLSv1");

// 正确写法1：指定使用TLSv1.2
SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
// 正确写法2：直接使用JDK默认配置，自动继承启动参数和全局配置
SSLContext sslContext = SSLContext.getDefault();

第三步：检查JRE全局安全配置 #

找到应用使用的JRE安装目录，打开jre/lib/security/java.security文件，查找jdk.tls.disabledAlgorithms配置项，确认配置中没有禁用TLSv1.2，如果有就删除对应配置，保存后重启应用即可。

常见问题说明 #

加启动参数是不是一定能解决问题？
不一定。如果是代码或者第三方依赖硬编码指定了TLSv1.0，代码配置的优先级高于启动参数，此时必须修改对应代码逻辑才能生效。

内容的提问来源于stack exchange，提问作者Ranganath Govardhanagiri