Java自签名证书报错TrustAnchor is not a CA certificate如何修复

问题原因 #

错误提示明确指出你导入客户端信任库的根证书不满足CA证书的要求：Java的PKIX校验逻辑要求作为信任锚的根CA证书必须包含BasicConstraints扩展，且值为CA:TRUE，你生成CA密钥对时没有指定该扩展，keytool默认生成的是普通终端实体证书，无法被识别为合法CA。

修复步骤 #

1. 先删除之前生成的所有.keystore、.pem、.csr、.crt旧文件，避免缓存干扰
2. 替换你的CA生成和服务端证书签名命令，补充证书扩展参数，完整修正后的脚本如下：

:: 生成CA密钥库，添加CA必备扩展，有效期10年
call keytool -genkey -alias ca -keyalg RSA -keystore ca.keystore -storetype JKS -storepass changeit -keypass changeit -ext BasicConstraints=CA:true -ext KeyUsage=keyCertSign,cRLSign -validity 3650

:: 导出CA证书到信任库文件
call keytool -exportcert -rfc -alias ca -file truststore.pem -keystore ca.keystore -storepass changeit

:: 生成服务端密钥库
call keytool -genkey -alias server -keyalg RSA -keystore server.keystore -storetype JKS -storepass changeit -keypass changeit

:: 生成服务端证书签名请求
call keytool -certreq -alias server -keystore server.keystore -file server_signing_request.csr -storepass changeit

:: 用CA签名服务端证书，添加服务端证书必备扩展，有效期1年
:: 如果需要指定服务端访问域名/IP，补充参数：-ext SAN=DNS:你的域名,IP:你的服务器IP
call keytool -gencert -infile server_signing_request.csr -outfile signed_server_cert.crt -keystore ca.keystore -alias ca -storepass changeit -ext BasicConstraints=CA:false -ext KeyUsage=digitalSignature,keyEncipherment -ext ExtendedKeyUsage=serverAuth -validity 365

:: 导入CA根证书到服务端密钥库
call keytool -importcert -alias ca -keystore server.keystore -file truststore.pem -storepass changeit -noprompt

:: 导入签名后的服务端证书到服务端密钥库
call keytool -import -alias server -keystore server.keystore -trustcacerts -file signed_server_cert.crt -storepass changeit -noprompt

验证方法 #

执行以下命令查看CA证书属性，确认存在BasicConstraints: CA:true字段即表示配置正确：

keytool -list -v -alias ca -keystore ca.keystore -storepass changeit

内容的提问来源于stack exchange，提问作者PaulLynch