使用p12证书调用需客户端认证的Web服务时出现No available client private key错误

从你给出的错误日志和代码来看，核心问题很明确：你在代码里硬指定的客户端证书别名（client），和实际生成的client.p12文件里的证书别名不匹配。

看日志里的这行关键信息：

javax.net.ssl|DEBUG|01|main|2019-06-29 19:29:33.244 IST|SunX509KeyManagerImpl.java:401|matching alias: 1

这说明你的p12文件里实际存在的证书别名是1，但你在代码的PrivateKeyStrategy里强制返回了"client"，导致SSLContext找不到对应的私钥和证书对，所以才会抛出"No available client private key"的警告。

两种快速解决方法 #

方法一：修改代码适配现有p12的别名 #

第一步：先确认p12的真实别名

用keytool命令查看你的client.p12文件详情：

keytool -list -v -storetype pkcs12 -keystore client.p12

输入密码后，找到Alias name那一行，比如日志里显示的就是1。

第二步：更新代码里的PrivateKeyStrategy

把硬编码的"client"替换成真实的别名，或者更灵活一点——直接返回第一个可用的别名（避免后续别名变化再出问题）：

.loadKeyMaterial(
    new File("C:\\jks\\client.p12"),
    KEYPASS.toCharArray(),
    KEYPASS.toCharArray(),
    (PrivateKeyStrategy) (aliases, socket) -> aliases.iterator().next() // 自动取第一个可用的别名
)

方法二：重新生成p12时指定别名 #

如果想保持代码里的"client"别名不变，那在生成p12文件的openssl命令里加上-name参数，直接指定别名为client：

openssl pkcs12 -export -out client.p12 -inkey client.key.pem -in client.cert.pem -name client

额外需要确认的点 #

• 确保你的client.p12确实包含私钥和对应证书：用上面的keytool命令查看时，会显示Entry type: PrivateKeyEntry，这说明私钥和证书是绑定在一起的，没问题。
• 代码里loadTrustMaterial用了同一个p12文件，如果服务端是自签证书，这样完全没问题；如果是CA签发的正规证书，你可以换成信任CA的密钥库，或者直接用系统默认的信任库就行。

内容的提问来源于stack exchange，提问作者ruhewo