为Consul、网关和微服务配置HTTPS时出现ZuulException转发错误

你遇到的NoHttpResponseException问题，核心原因是网关在转发请求到微服务时，没有正确使用HTTPS协议，或者无法信任微服务的自签名证书——虽然你已经在Consul配置了scheme: https，但Zuul/Ribbon（JHipster网关默认的负载组件）可能还在沿用HTTP协议发起请求，或者因为证书不被信任导致连接中断。

下面是一步步的解决方案：

1. 强制Ribbon使用HTTPS调用微服务 #

在网关的application-tls.yml中，为你的微服务添加Ribbon专属配置，明确指定使用HTTPS：

# 替换成你的微服务名称
<MICROSERVICE-NAME>:
  ribbon:
    scheme: https
    IsSecure: true
    # 如果使用自签名证书，需要配置信任库
    ssl:
      trust-store: classpath:config/tls/truststore.jks
      trust-store-password: password
      trust-store-type: JKS

如果只是测试环境想快速验证，可以临时开启信任所有证书（生产环境绝对禁止）：

ribbon:
  ssl:
    trust-all: true

2. 确认Zuul路由配置的HTTPS协议 #

检查网关的Zuul路由规则，确保路由到微服务时使用HTTPS：

zuul:
  routes:
    <MICROSERVICE-NAME>:
      path: /<MICROSERVICE-NAME>/api/**
      serviceId: <MICROSERVICE-NAME>
      scheme: https

3. 验证Consul注册的微服务地址 #

登录Consul UI（默认https://localhost:8500），查看你的微服务注册信息：

• 确认Service Address和Service Port是微服务的HTTPS地址和端口
• 确认Service Meta里的scheme字段是https

如果注册信息不对，检查微服务的application-tls.yml里的Consul配置，确保端口是HTTPS端口：

spring:
  cloud:
    consul:
      discovery:
        scheme: https
        port: 8081 # 你的微服务HTTPS端口

4. 处理自签名证书信任问题（生产环境必做） #

因为你用的是自签名证书，网关需要信任微服务的证书：

1. 导出微服务证书：

   keytool -export -alias selfsigned -file microservice.cer -keystore config/tls/keystore.jks -storepass password
   

2. 将证书导入网关的信任库：

   keytool -import -alias microservice-cert -file microservice.cer -keystore config/tls/truststore.jks -storepass password
   

3. 在网关的application-tls.yml里配置信任库（就是步骤1里的配置）。

额外排查点 #

• 检查微服务的HTTPS端口是否能直接访问：用浏览器或curl访问https://localhost:8081/api/<RESOURCE-NAME>，确认证书是否能被正常识别（测试环境可以忽略浏览器的证书警告）。
• 查看微服务的日志，确认是否有网关的请求到达但被SSL拦截的错误。

内容的提问来源于stack exchange，提问作者whyqueue