获取SSL证书调用SOAP WebService遇trustAnchors参数非空错误求解决方案

我之前也踩过这个一模一样的坑，简直让人抓狂！这个错误核心是Java信任存储（truststore）配置异常，导致JVM无法验证目标WebService的SSL证书合法性。结合我自己的排查经验，给你整理几个亲测有效的解决步骤：

1. 检查JDK默认信任库的有效性 #

默认情况下，Java会使用$JAVA_HOME/jre/lib/security/cacerts（JDK 11+路径为$JAVA_HOME/lib/security/cacerts）作为全局信任库，你需要确认：

• 这个文件是否存在，且大小正常（空文件或损坏都会触发该错误）。如果文件丢失/损坏，从一台正常运行的同版本JDK中拷贝一份，或者重新生成。
• 用keytool命令验证信任库是否可用：

  keytool -list -keystore $JAVA_HOME/jre/lib/security/cacerts
  

  输入默认密码changeit后，如果能正常列出证书列表，说明信任库没问题；如果报错，大概率是文件损坏或密码错误。

2. 手动导入目标网站的SSL证书到信任库 #

如果目标网站的证书不在JDK默认信任库中，就会触发验证失败：

• 第一步：获取目标证书
  可以通过浏览器导出：访问https://xxx.xx.com，点击地址栏的锁图标，导出证书为PEM/DER格式；
  也可以用openssl命令直接获取：

  openssl s_client -connect xxx.xx.com:443 < /dev/null | openssl x509 -outform PEM -out xxx.crt
  

• 第二步：导入证书到信任库
  执行以下命令（替换路径和别名）：

  keytool -import -alias xxx-cert -file xxx.crt -keystore $JAVA_HOME/jre/lib/security/cacerts
  

  输入默认密码changeit，然后输入yes确认信任该证书。

  如果你不想修改全局信任库，也可以创建自定义信任库，然后在代码中指定：

  System.setProperty("javax.net.ssl.trustStore", "/path/to/your/custom.truststore");
  System.setProperty("javax.net.ssl.trustStorePassword", "your-truststore-password");
  

3. 检查WebSphere服务器的SSL配置（重点！因为错误前缀是WSWS） #

从错误代码WSWS3713E来看，你应该是在WebSphere环境下调用SOAP服务，这时候还要检查服务器端的SSL配置：

• 登录WebSphere控制台，进入SSL证书和密钥管理 -> 密钥存储库；
• 找到默认信任存储库（比如DefaultTrustStore），确认它指向的文件路径正确，且文件包含有效的证书；
• 可以尝试重新同步信任库，或者直接将JDK默认的cacerts文件替换为WebSphere信任库的文件。

4. 排查环境变量与JVM参数 #

• 检查是否设置了javax.net.ssl.trustStore或javax.net.ssl.trustStorePassword系统属性，有没有指向错误的路径或者空文件；
• 如果是在IDE或服务器启动脚本中运行，确认VM参数里的信任库配置正确，比如：

  -Djavax.net.ssl.trustStore=/path/to/cacerts -Djavax.net.ssl.trustStorePassword=changeit
  

如果以上步骤都试过还是不行，可以排查一下JDK版本与目标网站SSL协议的兼容性（比如目标用了TLS 1.3但你的JDK版本过低不支持），不过这个概率相对较小，优先解决信任库的问题。

内容的提问来源于stack exchange，提问作者Shakir Husain