Java使用系统SSL配置对接第三方服务报No X.509客户端认证证书错误

• 1. 补全缺失的JVM启动参数
     你需要确保配置了全部核心SSL系统参数，缺一不可：

-Djavax.net.ssl.keyStore=你的密钥库文件路径
-Djavax.net.ssl.keyStorePassword=你的密钥库密码
-Djavax.net.ssl.keyPassword=你的密钥私钥密码
-Djavax.net.ssl.keyStoreType=JKS

注意：如果你的私钥密码和密钥库密码一致，javax.net.ssl.keyPassword可以省略，否则必须单独配置，否则JVM默认的KeyManager无法读取私钥，自然找不到用于客户端认证的X.509证书。你代码中手动初始化KeyManagerFactory时传入了和密钥库相同的密码，所以可以正常运行。

• 2. 确认你使用的HTTP客户端加载了系统默认SSL上下文
     你代码中用到的OkHttp默认不会自动读取JVM的系统SSL配置，需要显式配置使用默认的SSLSocketFactory和TrustManager，示例代码如下：

return okHttpClient.newBuilder()
        .sslSocketFactory((SSLSocketFactory) SSLSocketFactory.getDefault(), getSystemDefaultTrustManager())
        .connectTimeout(10000, TimeUnit.MILLISECONDS)
        .readTimeout(10000, TimeUnit.MILLISECONDS)
        .build();

// 单独提取获取系统默认TrustManager的方法
private X509TrustManager getSystemDefaultTrustManager() throws NoSuchAlgorithmException, KeyStoreException {
    TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    tmf.init((KeyStore) null); // 传入null会默认加载系统信任库配置
    for (TrustManager tm : tmf.getTrustManagers()) {
        if (tm instanceof X509TrustManager) {
            return (X509TrustManager) tm;
        }
    }
    throw new IllegalStateException("No default X509TrustManager found");
}

• 3. 验证密钥库内容正确性
     执行keytool命令检查密钥库中的条目：

keytool -list -v -keystore 你的密钥库路径

确认第三方客户端证书对应的条目类型是PrivateKeyEntry，且包含完整的证书链，不是仅导入了公钥证书的trustedCertEntry类型。

内容的提问来源于stack exchange，提问作者Anuj Kumar