使用HttpsUrlConnection依托默认cacerts建立TLS连接的相关问题

认知正确性确认 #

你所列的4项认知全部正确：

• 主流OpenJDK、Oracle JDK发行版的JRE默认都自带名为cacerts的信任库，默认访问密码为changeit，存放路径为JDK8及之前的jre/lib/security目录、JDK9及之后的lib/security目录
• 默认cacerts预存了全球公认的公共CA机构根证书、中间证书，公网正规签发的HTTPS证书默认即可被JVM信任
• 如需信任私有CA签发证书、自签名证书，将对应根证书、中间证书导入cacerts后，JVM全局就会信任这些证书
• 导入完成后无需编写额外SSLContext、TrustManager相关代码，也无需配置系统属性指定信任库路径、密码，你给出的标准HttpsURLConnection调用代码即可正常运行，JVM默认会自动加载内置cacerts的配置。

自定义信任库的必要性 #

不直接使用默认cacerts，而是额外创建自定义信任库，主要有以下几方面原因：

• 权限与运维成本问题：生产环境中Java应用进程通常没有JRE安装目录的写入权限，无法修改内置cacerts；且JRE版本升级时会直接覆盖默认cacerts文件，之前导入的自定义证书会全部丢失，需要重复导入，运维成本极高
• 应用隔离需求：单台服务器可能运行多个Java应用，不同应用需要信任的证书范围不同，导入全局cacerts会让所有应用都信任这些证书，存在安全风险，不符合最小权限原则
• 移植性问题：默认cacerts是机器级配置，应用迁移到新服务器时需要重新配置目标机器的JRE信任库，而自定义信任库可以放在应用包内随应用发布，不需要额外修改服务器环境
• 安全边界可控：自定义信任库仅存储当前应用所需的证书，最小化信任范围，安全边界更清晰，可降低误信任不可靠证书引发中间人攻击的风险。

SAN相关报错解决方案 #

你的判断完全正确，该报错是因为你使用IP10.10.10.10访问服务，但服务端证书的SAN（Subject Alternative Name）字段仅配置了DNS名esbtest.test.gov，没有对应IP条目，未通过JVM的主机名校验。
有两种解决方案：

• 优先推荐方案：更新服务端证书，在SAN字段中新增IP类型条目，值为10.10.10.10，重新签发证书即可解决，该方案合规且无安全风险
• 测试环境临时方案：如果暂时无法修改服务端证书，可以修改本地hosts文件，给10.10.10.10映射域名esbtest.test.gov，代码中直接用域名访问接口即可，无需修改证书也不需要关闭主机名校验，避免引入安全隐患。

内容的提问来源于stack exchange，提问作者user3248090