如何自动导入SSL证书以解决Java对接Outlook时的SSL握手异常问题

方案1：定时脚本自动导入（生产环境推荐） #

该方案无代码侵入，不会修改应用逻辑，安全性最高。

• 编写证书拉取导入脚本
  Linux Shell脚本示例：

#!/bin/bash
# 可根据实际环境修改以下配置
TRUSTSTORE_PATH="$JAVA_HOME/jre/lib/security/cacerts"
TRUSTSTORE_PASSWORD="changeit"
CERT_ALIAS="graph_microsoft_com"
TEMP_CERT_FILE="/tmp/graph_microsoft_com.crt"

# 拉取graph.microsoft.com最新证书
openssl s_client -connect graph.microsoft.com:443 -servername graph.microsoft.com < /dev/null | openssl x509 -out $TEMP_CERT_FILE

# 删除信任库中旧的同名证书
keytool -delete -alias $CERT_ALIAS -keystore $TRUSTSTORE_PATH -storepass $TRUSTSTORE_PASSWORD -noprompt 2>/dev/null

# 导入新证书到信任库
keytool -importcert -alias $CERT_ALIAS -file $TEMP_CERT_FILE -keystore $TRUSTSTORE_PATH -storepass $TRUSTSTORE_PASSWORD -noprompt

# 清理临时证书文件
rm -f $TEMP_CERT_FILE

Windows PowerShell脚本示例：

# 可根据实际环境修改以下配置
$trustStorePath = "$env:JAVA_HOME\jre\lib\security\cacerts"
$trustStorePwd = "changeit"
$certAlias = "graph_microsoft_com"
$tempCertPath = "C:\Temp\graph_microsoft_com.crt"

# 拉取目标站点证书
$req = [Net.WebRequest]::Create("https://graph.microsoft.com")
try { $req.GetResponse() } catch {}
$cert = $req.ServicePoint.Certificate
$certBytes = $cert.Export([Security.Cryptography.X509Certificates.X509ContentType]::Cert)
Set-Content -Path $tempCertPath -Value $certBytes -Encoding Byte

# 删除旧证书
keytool -delete -alias $certAlias -keystore $trustStorePath -storepass $trustStorePwd -noprompt 2>$null

# 导入新证书
keytool -importcert -alias $certAlias -file $tempCertPath -keystore $trustStorePath -storepass $trustStorePwd -noprompt

# 清理临时文件
Remove-Item $tempCertPath -Force

• 配置定时执行规则
  可设置每30天执行一次脚本，早于微软证书更新周期即可避免SSL握手异常：
  • Linux环境可通过crontab配置，示例规则：0 0 1 * * /opt/scripts/import_graph_cert.sh > /var/log/import_graph_cert.log 2>&1
  • Windows环境可通过系统的任务计划程序，配置每月自动执行脚本。

方案2：Java代码动态加载证书（测试环境推荐） #

如果无法操作服务器的定时任务，可通过代码在应用启动时动态拉取并加载证书，无需修改全局信任库。
注意：该方案仅建议在测试环境使用，生产环境优先选择方案1，避免动态信任逻辑带来的安全风险
代码示例：

import javax.net.ssl.HttpsURLConnection;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
import java.io.FileInputStream;
import java.net.URL;
import java.security.KeyStore;
import java.security.cert.Certificate;
import java.security.cert.X509Certificate;

public class GraphCertLoader {
    public static void loadGraphCert() throws Exception {
        // 拉取graph.microsoft.com服务端证书
        URL graphUrl = new URL("https://graph.microsoft.com");
        HttpsURLConnection conn = (HttpsURLConnection) graphUrl.openConnection();
        conn.connect();
        Certificate[] serverCerts = conn.getServerCertificates();
        X509Certificate graphCert = (X509Certificate) serverCerts[0];

        // 加载系统默认信任库
        KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
        String cacertsPath = System.getProperty("java.home") + "/lib/security/cacerts";
        try (FileInputStream fis = new FileInputStream(cacertsPath)) {
            trustStore.load(fis, "changeit".toCharArray());
        }

        // 导入证书到信任库
        trustStore.setCertificateEntry("graph_microsoft_com", graphCert);

        // 刷新全局SSL上下文
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(trustStore);
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, tmf.getTrustManagers(), null);
        HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());
    }
}

禁止使用信任所有证书的代码逻辑，会导致严重的中间人攻击风险

内容的提问来源于stack exchange，提问作者Venkat Chowdary