Tomcat使用证书连接PostgreSQL报需有效客户端证书问题咨询

1. 证书文件权限不足 #

这是最高发的原因：独立测试程序通常以你登录的用户（如root、个人普通用户）启动，该用户对证书目录/app/localstorage/UAT_Certs/下的.crt、.pk8文件有读权限；而Tomcat一般以专属的低权限用户（如tomcat、www-data）运行，没有对应证书文件的读取权限，JDBC驱动读不到证书就会触发需要有效客户端证书的报错。

2. JDBC驱动版本冲突 #

你独立程序使用的是postgresql-9.3-1102-jdbc41.jar版本驱动，如果Tomcat全局lib目录、Web应用WEB-INF/lib目录下存在其他版本的PostgreSQL JDBC驱动，会导致版本冲突，低版本驱动不支持URL中直接配置sslcert、sslkey参数，导致证书配置不生效。

3. 全局SSL参数覆盖 #

如果Tomcat启动参数（catalina.sh/setenv.sh中配置）中存在javax.net.ssl.keyStore等全局SSL相关的系统属性，优先级会高于JDBC URL中的证书配置，驱动会优先读取全局keystore而忽略你URL中指定的证书文件，导致认证失败。

4. URL参数解析异常 #

硬编码在URL中的特殊字符可能在Tomcat数据源初始化时被转义，导致ssl相关参数没有被正确识别。

按优先级依次尝试以下操作：

• 修复证书权限
  先确认Tomcat运行用户：ps aux | grep tomcat | grep -v grep，假设运行用户为tomcat，执行以下命令授权：

  # 给证书目录加执行权限（必须有才能访问目录内文件）
  chmod 755 /app/localstorage/UAT_Certs/
  # 给Tomcat用户授予证书文件读权限
  chown tomcat:tomcat /app/localstorage/UAT_Certs/FA1234.crt /app/localstorage/UAT_Certs/FA1234.pk8
  chmod 644 /app/localstorage/UAT_Certs/FA1234.crt /app/localstorage/UAT_Certs/FA1234.pk8
  

  可在自定义数据源代码中添加日志验证权限：

  System.out.println("Cert readable: " + new File("/app/localstorage/UAT_Certs/FA1234.crt").canRead());
  System.out.println("Key readable: " + new File("/app/localstorage/UAT_Certs/FA1234.pk8").canRead());
  

• 统一JDBC驱动版本
  将独立程序使用的postgresql-9.3-1102-jdbc41.jar放到Tomcat的lib/目录下，删除Web应用WEB-INF/lib/下所有PostgreSQL JDBC驱动包，避免版本冲突。
• 清理全局SSL配置
  检查Tomcat的bin/setenv.sh、bin/catalina.sh文件，删除所有以javax.net.ssl.keyStore、javax.net.ssl.keyStorePassword开头的JVM启动参数。
• 优化数据源配置方式
  不要把SSL相关参数硬编码在URL中，改为通过连接属性配置，避免转义问题，修改SecureTomcatDataSourceImpl代码如下：

  // 原有代码拿到poolProperties后
  poolProperties.setUrl("jdbc:postgresql://<数据库主机>:<端口>/<DB_NAME>");
  poolProperties.setUsername("XXXX");
  poolProperties.setPassword("XXXX");
  
  // 新增SSL属性配置
  Properties connProps = poolProperties.getConnectionProperties();
  if (connProps == null) {
      connProps = new Properties();
  }
  connProps.setProperty("sslmode", "require");
  connProps.setProperty("sslcert", "/app/localstorage/UAT_Certs/FA1234.crt");
  connProps.setProperty("sslkey", "/app/localstorage/UAT_Certs/FA1234.pk8");
  connProps.setProperty("sslpassword", "XXXX");
  poolProperties.setConnectionProperties(connProps);
  

所有修改完成后重启Tomcat即可验证连接是否正常。

内容的提问来源于stack exchange，提问作者Uvais