Java运行jar报SSLHandshakeException但证书已系统全局信任如何解决

问题根因说明 #

你遇到的报错是Java运行时不信任目标站点的SSL证书链导致的，curl、浏览器走的是系统级信任库，而Java默认使用自带的独立信任库，和系统全局信任不互通，所以之前的系统全局信任配置对Java无效。

第一步：排查全局信任库导入错误 #

大部分导入后仍然报错的原因都是导入错了JDK对应的信任库：

• 先确认当前运行jar使用的Java路径：
  执行命令：readlink -f $(which java)
  假设返回结果为/usr/lib/jvm/java-1.8.0-openjdk-amd64/jre/bin/java，则对应默认信任库的路径为/usr/lib/jvm/java-1.8.0-openjdk-amd64/jre/lib/security/cacerts
• 验证你之前的证书是否已经导入到该信任库：
  执行命令：keytool -list -keystore 上面找到的cacerts路径 -alias 你导入时设置的证书别名
  默认信任库密码为changeit，如果提示找不到别名，说明你之前导入到了其他Java版本的信任库中，重新导入到当前路径即可。

第二步：无需修改全局配置的临时生效方案 #

如果不想修改全局信任库，可以在启动jar时直接通过JVM参数指定信任证书：

• 方案1：指定自定义信任库路径

  java -Djavax.net.ssl.trustStore=/path/to/your/cacerts -Djavax.net.ssl.trustStorePassword=changeit -jar your-app.jar
  

• 方案2：如果目标站点你完全信任，也可以临时忽略SSL证书校验
  启动命令添加参数：-Dcom.sun.net.ssl.checkRevocation=false -Djdk.internal.httpclient.disableHostnameVerification=true
  注：该方案会降低通信安全性，仅适用于内部测试场景，生产环境不建议使用

特殊情况说明 #

如果上述所有方案都无效，说明jar包内部硬编码了自定义SSL上下文配置，没有读取JVM默认的信任库，这种情况只能通过反编译修改代码或配置文件解决，不存在无代码修复方案。

内容的提问来源于stack exchange，提问作者saedx1