Java调用HTTPS接口报PKIX path building failed错误的原因是什么

出现单独运行示例代码正常、完整项目中报错的差异，是因为两种运行场景的SSL信任配置不一致，核心原因可从以下方向排查：

• 运行使用的JDK环境不一致
  Java默认的SSL信任证书存放在$JAVA_HOME/jre/lib/security/cacerts文件中，若示例代码用的是系统默认JDK，而项目指定了自定义JDK，且自定义JDK的cacerts中未导入目标HTTPS站点的根证书，就会触发PKIX错误。
• 项目配置了自定义SSL上下文
  项目中如果存在自定义X509TrustManager、手动初始化SSLContext的代码，或是引入的依赖（如Spring Boot、Apache HttpClient、OkHttp等）修改了全局SSL配置，覆盖了JDK默认的信任链校验逻辑，且自定义信任库中未包含目标站点证书，就会报错。
• 项目启动指定了自定义信任库
  若项目启动参数中添加了-Djavax.net.ssl.trustStore=自定义信任库路径、-Djavax.net.ssl.trustStorePassword=信任库密码的配置，指定的信任库不是JDK默认的cacerts，且未导入目标站点证书也会触发错误。
• 项目配置了HTTPS代理
  示例代码运行时未走代理，而项目中配置了系统代理或代码级HTTP代理，代理的SSL证书未被信任也会抛出该错误。

排查步骤 #

1. 确认JDK一致性
   在示例代码和项目启动入口都添加如下代码，打印当前运行的JDK路径，确认是否一致：

   System.out.println(System.getProperty("java.home"));
   

   若路径不一致，将目标HTTPS站点的证书导入到项目使用的JDK的cacerts中即可，导入命令如下（默认cacerts密码为changeit）：

   keytool -import -alias samplewebsite -file 站点证书本地路径.cer -keystore 项目使用的JDK路径/jre/lib/security/cacerts
   

2. 检查项目SSL配置
   全局搜索项目中是否有自定义SSL信任管理器、SSLContext初始化的相关代码，排查框架的SSL相关配置（如Spring Boot的server.ssl.*配置项），确认是否有覆盖默认信任规则的逻辑。
3. 核对启动参数
   检查项目启动命令中是否有javax.net.ssl.trustStore相关的JVM参数，若存在则将证书导入到该参数指定的信任库中即可。
4. 验证代理配置
   对比示例和项目的网络配置，确认项目是否开启了HTTPS代理，可临时关闭代理后运行测试，排查是否为代理证书导致的问题。

临时测试方案（仅用于验证问题，禁止在生产环境使用，存在严重安全风险） #

在项目的HTTP请求发送前添加如下代码，临时忽略SSL证书校验，如果添加后不再报错，即可确认是证书信任链的问题：

// 临时忽略SSL证书校验逻辑
TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {
        public java.security.cert.X509Certificate[] getAcceptedIssuers() {
            return null;
        }
        public void checkClientTrusted(
            java.security.cert.X509Certificate[] certs, String authType) {
        }
        public void checkServerTrusted(
            java.security.cert.X509Certificate[] certs, String authType) {
        }
    }
};
SSLContext sc = SSLContext.getInstance("SSL");
sc.init(null, trustAllCerts, new java.security.SecureRandom());
HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());
// 忽略主机名校验
HostnameVerifier allHostsValid = (hostname, session) -> true;
HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);

内容的提问来源于stack exchange，提问作者Avinash Modi