Spring Integration出站网关调用HTTPS报PKIX错误及相关问题咨询

1. 日志中http_requestUrl与实际调用端点不一致的原因 #

这个字段属于入站请求的透传Header，不是出站调用的目标地址。
Spring Integration的HttpRequestHandlingMessagingGateway在接收HTTP请求时，会自动把入站请求的基础元信息（请求方法、原始请求URL、请求头、认证主体等）绑定到Message的Header中，所有以http_为前缀的Header值，全部来自客户端发给IntegrationService的原始入站请求，也就是日志中记录的http_requestUrl=http://<server_ip>:/api/getrecordsfromservice1?transactionId=1111111111&id=100100100157。
而出站调用的目标地址，是代码中outboundGateway配置的viewrecordsEndpoint + "{id}"拼接得到的网关路由地址https://<server_ip>/gateway/services/service1/api/viewrecords?id=xxx，属于下游调用的独立流程，和入站请求的地址本身不存在对应关系，自然不会一致。 #

2. HTTPS通信场景下抛出SunCertPathBuilderException的原因 #

这个异常的本质是IntegrationService作为HTTPS客户端，在和目标地址建立TLS连接时，运行环境的JVM信任库无法校验目标站点出示的证书合法性，和两个微服务是否都启用HTTPS没有直接关联。
实际调用链路是：IntegrationService -> API网关 -> Service1，因此第一次TLS握手发生在IntegrationService和API网关之间，需要校验的是API网关出示的HTTPS证书。如果API网关使用的是自签名证书、内网私有CA签发的证书，而对应的根证书没有导入到IntegrationService运行环境的JVM信任库（$JAVA_HOME/lib/security/cacerts），就会直接触发证书路径构建失败的报错。
只要客户端不信任服务端出示的证书，哪怕双方都配置了HTTPS，TLS握手依然会失败。 #

3. Spring生成Host请求头的逻辑 #

Spring Integration底层基于RestTemplate实现HTTP出站调用，生成Host请求头时优先从实际发起调用的目标URL中解析host和port字段，不会读取application.yml中的服务IP、端口配置来拼接Host头。
日志中看到的Host=<server_ip>:<port>字段，同样是入站请求透传的Header——API网关转发请求给IntegrationService时，将网关侧的Host头透传了过去，入站网关将这个值绑定到Message Header中，不是出站调用时新生成的Host头。
补充说明：如果目标URL中没有显式指定端口，Spring会根据协议自动匹配默认端口值（HTTPS对应443、HTTP对应80），不会额外读取应用配置中的server.port参数填充Host头。 #

代码实现注意事项 #

• 贴出的入站网关配置代码中，存在类名大小写不匹配的笔误：RequestMapping是框架定义的类，初始化时应该使用new RequestMapping()，小写开头的写法会直接触发编译错误，大概率是整理内容时的输入失误。
• 当前出站网关使用默认的RestTemplate客户端，没有自定义SSL上下文，会直接使用JVM默认的信任库校验证书。开发环境如果需要跳过自签名证书的校验，可单独为这个出站网关配置自定义SSL上下文；生产环境必须将合法的根证书导入JVM信任库，不能随意跳过证书校验。

内容的提问来源于stack exchange，提问作者Sanal M