设置javax.net.ssl.trustStore是覆盖JDK默认cacerts还是追加证书信任？

显式设置javax.net.ssl.trustStore参数时，自定义信任库会完全覆盖JDK默认的cacerts信任库，不存在在默认信任库基础上追加信任范围的逻辑。
具体生效逻辑细节：

• 只要该系统属性被赋予非空值，无论指定的信任库文件是否存在、是否可正常读取，JVM都会放弃加载JDK安装目录下的默认cacerts文件，转而加载你指定路径下的信任库
• 仅当JVM完全没有配置任何与trustStore相关的系统属性时，才会自动加载对应JDK版本路径下的默认cacerts作为全局SSL校验的信任源
• 常见关联配套参数包括：
  • javax.net.ssl.trustStorePassword：自定义信任库的读取密码
  • javax.net.ssl.trustStoreType：自定义信任库的存储格式（如JKS、PKCS12）

• 你配置的JVM参数-Djavax.net.ssl.trustStore=my-truststore.jks，会让全局所有使用JVM默认SSL上下文的HTTPS连接，仅信任my-truststore.jks内存储的证书条目
• 通过AmazonS3ClientBuilder.defaultClient()初始化的S3客户端，没有自定义指定独立的SSL校验逻辑，会直接复用上述全局JVM默认SSL上下文
• 因为你的自定义my-truststore.jks内没有存储AWS服务对应的根CA证书，当前配置下连接S3服务时必然会触发SSL证书校验失败——哪怕你的JDK版本已经在默认cacerts中内置了AWS所需的根CA证书，该默认证书也不会被加载生效。

• 将JDK默认cacerts中所有应用需要信任的根证书（包括AWS对应的根CA）全量导入到自定义的my-truststore.jks文件中
• 保留全局自定义信任库配置的同时，为AWS S3客户端单独指定独立的SSL上下文，让S3连接的证书校验复用JDK默认cacerts的信任规则，不受全局参数覆盖的影响
• 如果没有全局自定义信任库的强需求，直接移除-Djavax.net.ssl.trustStore参数，让JVM回到默认加载cacerts的逻辑

内容的提问来源于stack exchange，提问作者Bobert