生产环境Spring应用SSL证书管理相关问题咨询

生产环境SSL证书管理最佳实践 #

• 避免直接修改JDK全局的cacerts证书库：JDK版本升级时会默认覆盖该文件，容易导致之前导入的证书丢失，且全局配置会影响同一服务器上运行的所有Java应用。优先使用应用独立的自定义信任库，仅存入当前应用需要信任的外部服务证书，启动应用时通过JVM参数指定即可：

  -Djavax.net.ssl.trustStore=/生产环境路径/custom-truststore.jks -Djavax.net.ssl.trustStorePassword=自定义密码
  

• 统一存储管理证书：所有自定义证书统一存入密钥管理系统（KMS）或配置中心，避免散落在各服务器本地，更新时可统一推送，无需逐台服务器操作。
• 配置证书有效期监控：提前30天配置过期告警，避免证书过期导致业务中断。
• 公网正规CA签发的证书无需单独导入：如果调用的外部WebService用的是主流公网CA签发的证书，只需保证JDK的cacerts为官方发布的最新版本即可，无需手动导入单站点证书。

是否需要每年手动更新证书 #

视证书类型而定：

• 若外部服务使用公网CA签发的证书：无需每年手动更新。主流CA的根证书有效期普遍在10年以上，只要对端未更换未被信任的小众根证书，无需修改信任库配置。
• 若外部服务使用自签名证书或内部CA签发的证书：需要在对端证书到期前，将新证书更新到你的自定义信任库中，更新频率和对端证书有效期一致，不一定是每年，建议通过告警提前处理即可。

可替代的解决方案 #

• 应用层面自定义SSL上下文：在Spring代码中为调用外部接口的RestTemplate/WebServiceTemplate单独配置SSL信任规则，仅对该类请求放行指定证书，无需修改JVM全局配置，也无需添加启动参数，适合仅少量接口需要信任特殊证书的场景。
• 反向代理/API网关转发：如果生产环境有统一的反向代理或API网关，可将外部WebService的请求先转发到代理，由代理完成SSL证书校验，应用直接通过HTTP调用代理地址即可，证书管理全部交由运维侧处理，业务代码无需改造。
• 内部服务统一根证书：如果是内部系统之间的互调用，可部署统一的内部CA，所有应用的信任库统一预置内部CA的根证书，后续单个服务更新证书时，只要新证书由同一根CA签发，所有调用方无需修改配置即可自动信任。

内容的提问来源于stack exchange，提问作者Azrahell