非JMS方式接入IBM MQ：WAS部署下的连接参数与SSL配置咨询

常见误区澄清 #

首先要明确一个很多人踩过的坑：你参考的那套-Djavax.net.ssl.*系列JVM参数，仅对Java版MQ客户端生效。你当前使用的IBM.WMQ托管.NET客户端，完全不读取Java体系的SSL配置，这类参数对MQ连接没有任何作用。
你代码中创建MQQueueManager时传入的哈希表参数、MQ客户端自身提供的API属性，才是配置SSL连接、传递密钥库/信任库路径的唯一有效入口。

核心配置参数说明 #

在WAS多应用共存的场景下，优先使用连接级参数传递SSL配置（即放到创建连接的哈希表里），不要使用MQEnvironment的全局静态属性——这类进程级属性很容易被同容器下的其他应用覆盖，引发难以排查的连接问题。
需要传递的核心SSL配置项如下：

• MQC.SSL_KEY_REPOSITORY_PROPERTY：密钥库/信任库的文件路径，注意路径不能带文件扩展名。比如你的存储文件是/opt/was/ssl/mq-trust.jks，这里就填写/opt/was/ssl/mq-trust，客户端会自动识别同路径下的.jks/.p12/.kdb格式存储文件。
• MQC.SSL_KEY_REPOSITORY_PASSWORD_PROPERTY：密钥库/信任库的访问密码。仅在使用JKS、PKCS12格式的存储时需要传递；如果使用IBM原生的.kdb格式存储，只要配套的.sth密码文件和.kdb放在同一路径下，不需要单独传这个参数。
• MQC.SSL_CIPHER_SUITE_PROPERTY：SSL加密套件，也就是你原本写在全局MQEnvironment.SSLCipherSpec里的内容，建议移到连接参数里传递，不要依赖全局静态属性。

WAS场景下的凭证注入方案 #

不要把密钥库路径、密码硬编码在代码里，结合WAS的管理能力，推荐两种动态注入方式：

• 应用级环境变量配置
  在WAS控制台为你的应用配置自定义环境变量，比如MQ_SSL_KEYSTORE_PATH、MQ_SSL_KEYSTORE_PWD，其中敏感的密码值可直接存到WAS的加密凭据存储中。应用启动时通过运行时环境变量读取这些配置值，动态填充到连接的哈希表中。这种方式的好处是，同WAS节点上的多个MQ应用可以使用不同的SSL凭证，不会出现配置串扰的问题。
• 复用WAS统一SSL配置
  如果WAS节点已经为所有应用配置了统一的企业级密钥库，可直接从WAS的节点配置中读取节点级的密钥库路径和密码，动态传递给MQ客户端，不需要单独为MQ应用维护一套独立的SSL存储。

代码调整参考 #

把原本全局设置的SSL参数全部移到连接参数中，动态读取配置，避免硬编码敏感信息：

// 从WAS环境变量读取动态配置，不硬编码路径和密码
string sslKeyStorePath = Environment.GetEnvironmentVariable("MQ_SSL_KEYSTORE_PATH");
string sslKeyStorePwd = Environment.GetEnvironmentVariable("MQ_SSL_KEYSTORE_PWD");
string sslCipherSpec = "TLS_RSA_WITH_AES_256_CBC_SHA256";

Hashtable queueProperties = new Hashtable
{
    { MQC.HOST_NAME_PROPERTY, strServerName },
    { MQC.CHANNEL_PROPERTY, strChannelName },
    { MQC.PORT_PROPERTY, intPort },
    { MQC.TRANSPORT_PROPERTY, MQC.TRANSPORT_MQSERIES_MANAGED },
    // 所有SSL连接参数全部移到连接哈希表中，不使用全局MQEnvironment静态属性
    { MQC.SSL_CIPHER_SUITE_PROPERTY, sslCipherSpec },
    { MQC.SSL_KEY_REPOSITORY_PROPERTY, sslKeyStorePath },
    { MQC.SSL_KEY_REPOSITORY_PASSWORD_PROPERTY, sslKeyStorePwd }
};

// 后续创建MQQueueManager时直接使用上述哈希表，不再单独设置全局MQEnvironment属性

注意事项 #

• 密钥库路径必须填写绝对路径，不要填相对路径，避免WAS启动目录变化导致客户端找不到存储文件。
• 生产环境不要把密钥库密码硬编码在代码或明文配置文件中，优先使用WAS提供的加密凭据存储能力托管敏感信息。
• 如果你使用的MQ客户端版本低于9.2.0.0，不支持通过MQC.SSL_KEY_REPOSITORY_PASSWORD_PROPERTY参数传递存储密码，这种情况下需要把.kdb和配套的.sth文件放在配置的路径下，客户端会自动读取.sth里的密码完成校验。

内容的提问来源于stack exchange，提问作者Zahid