安装根证书后JMeter录制胖客户端HTTPS请求仍遇SSL证书问题

咱们先从你提到的一个关键细节入手：不通过代理访问该域名时本身就有SSL错误——这其实是问题的核心，说明这个域名的证书在你的胖客户端环境里本来就不被信任，JMeter作为代理又会重新签名证书，相当于雪上加霜，自然抓不到请求。

先理清几个关联点 #

你说IE装了JMeter证书后能访问，但胖客户端不行，这很正常：IE用的是Windows系统的证书存储，而胖客户端大概率用的是自己自带的JRE或者专属密钥库，两者完全独立，所以IE的状态不代表胖客户端的信任情况。

针对胖客户端的具体排查步骤 #

1. 确认证书真的导入到了正确的密钥库 #

很多胖客户端会自带JRE，不是用系统默认的，你得先找到它用的JRE路径：

• 一般在应用安装目录下的jre或者jdk文件夹里
• 用keytool命令检查JMeter证书是否存在：

  keytool -list -keystore <你的JRE路径>/lib/security/cacerts -alias jmeter
  

  默认密码是changeit，如果找不到jmeter这个别名，说明之前导入错地方了，重新导一次：

  keytool -import -alias jmeter -file <JMeter生成的证书路径>/ApacheJMeterTemporaryRootCA.crt -keystore <你的JRE路径>/lib/security/cacerts
  

• 还有些应用会用自己的专属密钥库（比如client.keystore），你得去看应用的配置文件（比如application.properties、config.xml）里有没有指定javax.net.ssl.keyStore这类参数，找到后把JMeter证书导入到这个密钥库中。

2. 确保胖客户端真的走了JMeter代理 #

有些胖客户端会忽略系统代理，得手动配置：

• 先检查应用内部的网络设置，把HTTP/HTTPS代理设为JMeter的地址（默认是localhost:8888）
• 如果应用没提供代理设置入口，可以试试用启动参数强制指定：

  java -Dhttp.proxyHost=localhost -Dhttp.proxyPort=8888 -Dhttps.proxyHost=localhost -Dhttps.proxyPort=8888 -jar 你的胖客户端.jar
  

关于组策略强制证书的可行性 #

直接说结论：大概率没用，除非你的胖客户端完全依赖Windows系统的证书存储。

组策略部署的证书只会同步到系统默认的证书存储里，比如IE、Chrome（默认用系统存储）、用系统JRE的Java应用，但如果你的胖客户端用的是自带JRE或者自定义密钥库，组策略的证书根本不会自动同步过去，自然起不到作用。

如果你的胖客户端确实用的是系统JRE，且没指定自定义密钥库，那组策略部署证书可能有用，但前提是你先把代理配置搞对。

额外小技巧：用Wireshark验证请求是否真的发出 #

如果还是抓不到，先用Wireshark抓个包：

• 如果Wireshark能看到胖客户端向这个域名发了请求，但JMeter没记录，那就是SSL信任的问题，继续折腾证书
• 如果Wireshark也看不到请求，那说明胖客户端可能根本没发起请求，或者走了其他通道绕过了代理

内容的提问来源于stack exchange，提问作者Doey