WAS9部署HttpClient应用遇SSLHandshakeException问题咨询

我来帮你分析下这个从Tomcat迁移到WAS9后遇到的SSL异常问题，结合你提供的日志和代码，我们一步步来解决：

一、核心问题定位：TLS协议版本不兼容 #

先看你更新后的服务器日志，这里已经给出了明确的错误指向：

[9/3/19 5:04:45:670 CDT] 0000019a SSLHandshakeE E SSLC0008E: Unable to initialize SSL connection. Unauthorized access was denied or security settings have expired. Exception is javax.net.ssl.SSLHandshakeException: Client requested protocol TLSv1 not enabled or not supported

WAS9默认会禁用TLSv1这类老旧且不安全的协议，而你的HttpClient代码没有明确指定要使用的TLS版本，默认可能采用了TLSv1发起请求，这才是导致握手失败的直接原因——比JSSE实现差异的影响更优先。

二、能否切换到Sun JSSE？ #

可以切换，但需要注意风险：

• WAS默认依赖IBM JSSE2实现SSL功能，它和Sun JSSE（Oracle JSSE）在证书处理、SSL配置逻辑上存在差异，切换后WAS自身的安全组件（比如管理控制台、内部服务间SSL通信）可能出现兼容性问题。
• 切换方法：
  1. 修改WAS的JVM参数，添加以下配置：

     -Djava.security.provider=sun.security.provider.Sun
     -Djavax.net.ssl.SSLContext=SunJSSE
     

  2. 或者通过WAS控制台配置：安全 > SSL证书和密钥管理 > 配置SSL环境 > 管理SSL配置 > 目标SSL配置 > 质量保护 > 协议，将JSSE提供者切换为Sun JSSE（部分版本需手动指定）。
  3. 重要提醒：切换后必须全面测试WAS所有SSL相关功能，避免引发其他未知问题。

三、优先推荐的解决方案：调整HttpClient的TLS版本配置 #

不需要切换JSSE，直接修改你的SSLContext构建代码，指定使用安全的TLS版本（比如TLSv1.2，当前主流标准），同时配合WAS的SSL配置即可解决问题：

修改后的SSLContext构建代码示例 #

HttpClient client = null;
try {
    HttpClientBuilder builder = HttpClientBuilder.create()
            .setRedirectStrategy(new LaxRedirectStrategy());

    // 构建支持TLSv1.2的SSLContext
    SSLContext sslContext = new SSLContextBuilder()
            .loadTrustMaterial(null, new TrustStrategy() {
                public boolean isTrusted(X509Certificate[] arg0, String arg1) throws CertificateException {
                    return true;
                }
            })
            .setProtocol("TLSv1.2") // 指定核心协议版本
            .build();

    // 创建限定TLS版本的套接字工厂
    SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(
            sslContext,
            new String[]{"TLSv1.2"}, // 明确启用的协议列表
            null,
            NoopHostnameVerifier.INSTANCE);

    builder.setSSLSocketFactory(sslSocketFactory);
    client = builder.build();
} catch (Exception e) {
    e.printStackTrace();
}

同步检查WAS的SSL协议配置 #

1. 登录WAS控制台，进入安全 > SSL证书和密钥管理 > 配置SSL环境 > 管理SSL配置
2. 选择你的应用使用的SSL配置（比如默认的DefaultSSLSettings）
3. 点击质量保护，确保协议列表中包含TLSv1.2，同时确认TLSv1等旧协议已被禁用

四、其他可能的问题排查点 #

• 证书信任冲突：虽然你的代码里用了TrustStrategy信任所有证书，但WAS的全局SSL信任存储可能会覆盖这个逻辑，建议将目标服务器的证书导入到WAS的信任存储中（路径：安全 > SSL证书和密钥管理 > 密钥存储库 > 信任存储库 > 目标信任库 > 签名者证书）
• 连接池适配：WAS的连接管理机制和Tomcat不同，检查HttpClient的连接池配置（比如最大连接数、超时时间）是否符合WAS的运行环境要求，避免出现连接泄漏或超时
• IBM JSSE2特有配置：如果坚持使用IBM JSSE2，可以通过JVM参数调整其行为，比如添加-Dcom.ibm.jsse2.overrideDefaultTLS=true强制启用指定的TLS版本

内容的提问来源于stack exchange，提问作者Ashutosh Khare