OpenJDK连接通配符证书服务器报SSLHandshakeException求助

我之前也碰到过类似的情况，这个Received fatal alert: unrecognized_name错误其实不是通配符证书不匹配直接导致的，而是服务器在处理SNI（Server Name Indication）扩展时，无法识别客户端发送的主机名，从而返回了致命警报。Oracle JDK和OpenJDK在SNI处理、主机名验证的容错性上有差异，这就是为什么Oracle JDK能正常连接的原因。下面是几个你可以尝试的有效方案：

1. 确保SNI禁用参数正确生效 #

你尝试的-Djsse.enableSNIExtension=false确实是常用方案，但有些OpenJDK版本（尤其是早期的JDK 8小版本）对这个参数的处理有细节差异：

• 必须将这个参数作为JVM启动参数传递，而不是在应用代码中动态设置（比如System.setProperty()可能太晚，因为JSSE初始化早于应用代码）。例如：

  java -Djsse.enableSNIExtension=false -jar your-application.jar
  

• 如果你的应用运行在容器（如Tomcat、Jetty）中，要确保参数被传递给容器的JVM，而不是应用的配置项。比如Tomcat需要修改catalina.sh（Linux）或catalina.bat（Windows）中的JAVA_OPTS：

  JAVA_OPTS="$JAVA_OPTS -Djsse.enableSNIExtension=false"
  

2. 启用OpenJDK的unrecognized_name容错参数 #

OpenJDK有一个专门针对这个错误的隐藏参数，可以允许客户端忽略服务器返回的unrecognized_name警报。添加以下JVM启动参数：

-Djdk.tls.allowUnrecognizedServerName=true

这个参数会让JSSE在收到服务器的unrecognized_name警报时，不抛出SSLHandshakeException，而是继续完成连接。这是比禁用SNI更精准的解决方案，因为它不影响其他SNI相关的场景。

3. 自定义主机名验证器 #

如果上面的参数都无效，你可以实现自定义的HostnameVerifier，手动处理通配符证书的主机名匹配逻辑：

import javax.net.ssl.HostnameVerifier;
import javax.net.ssl.SSLSession;

public class TolerantWildcardHostnameVerifier implements HostnameVerifier {
    @Override
    public boolean verify(String hostname, SSLSession session) {
        // 获取证书中的主机名
        String certHost = session.getPeerHost();
        // 处理通配符规则：允许*.domain.whatever匹配任何子域名
        if (certHost != null && certHost.startsWith("*.")) {
            String domainSuffix = certHost.substring(2);
            return hostname.endsWith(domainSuffix);
        }
        // 非通配符证书直接匹配
        return hostname.equals(certHost);
    }
}

然后在应用初始化时设置这个验证器：

import javax.net.ssl.HttpsURLConnection;

public class AppInitializer {
    public static void init() {
        HttpsURLConnection.setDefaultHostnameVerifier(new TolerantWildcardHostnameVerifier());
    }
}

⚠️ 注意：自定义验证器要尽量保持严谨，避免过于宽松的规则导致安全风险（比如不要直接返回true绕过所有验证）。

4. 检查服务器端SNI配置（可选） #

虽然你提到无法更换证书，但可以确认服务器的虚拟主机配置是否正确绑定了通配符证书。有些服务器（如Nginx、Apache）如果没有为通配符域名配置正确的SNI条目，会导致当客户端发送SNI主机名时，服务器无法匹配到对应的证书，从而返回unrecognized_name。Oracle JDK的SNI处理在这种场景下可能更宽容，而OpenJDK则严格抛出异常。

内容的提问来源于stack exchange，提问作者Raibaz