启用TLSv1.2的HTTPS服务器连接失败：SSL握手异常求助

刚接触HTTPS连接遇到这种问题很正常，咱们一步步拆解排查，先把浏览器显示“Not Secure”和Java握手失败的关联点理清楚——这俩问题大概率是同源的：

一、先确认服务器的TLSv1.2配置真的生效了 #

别光看配置文件说启用了TLSv1.2，咱们用命令验证下：

openssl s_client -connect your-domain:443 -tls1_2

执行后看输出：

• 如果握手失败，说明服务器的TLSv1.2根本没配置对，比如端口没绑定、加密套件没开，先把服务器端的问题搞定。
• 如果握手成功，看输出里的证书信息：有没有过期？域名和你的访问地址匹配吗？证书链是否完整？这些都会导致浏览器标红“Not Secure”，同时Java客户端也会拒绝信任。

二、强制Java客户端使用TLSv1.2 #

不同Java版本对TLS的默认支持不一样：Java 7默认是禁用TLSv1.2的，Java 8虽然默认启用，但有时候会因为环境问题 fallback 到更低版本。你的代码里没指定TLS版本，很可能客户端用了TLSv1.0/1.1去连只支持1.2的服务器，直接握手失败。

修改代码，显式指定TLSv1.2：

SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, null, new SecureRandom());

Client client = ClientBuilder.newBuilder()
    .sslContext(sslContext)
    .build();

三、解决证书信任问题 #

浏览器标红“Not Secure”90%是因为证书不被信任——比如用了自签证书、证书过期、域名不匹配。Java的默认信任库（cacerts）只信任正规CA颁发的证书，遇到自签或不被信任的证书直接拒绝握手。

测试环境快速解决（不推荐生产用） #

可以临时让Java信任所有证书，跳过验证：

// 自定义信任管理器，信任所有证书
TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {
        @Override
        public X509Certificate[] getAcceptedIssuers() {
            return null;
        }
        @Override
        public void checkClientTrusted(X509Certificate[] certs, String authType) {}
        @Override
        public void checkServerTrusted(X509Certificate[] certs, String authType) {}
    }
};

SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, trustAllCerts, new SecureRandom());

Client client = ClientBuilder.newBuilder()
    .sslContext(sslContext)
    .hostnameVerifier((hostname, session) -> true) // 跳过域名匹配验证
    .build();

生产环境正确做法 #

把服务器的合法证书导入Java的信任库，用keytool命令：

keytool -import -alias my-server-cert -file /path/to/server.crt -keystore $JAVA_HOME/jre/lib/security/cacerts

默认信任库密码是changeit，导入后Java就会信任这个证书了。

四、检查加密套件是否匹配 #

服务器虽然启用了TLSv1.2，但可能只支持某些小众加密套件，而Java客户端默认支持的套件和服务器不重叠，也会导致握手失败。

先用openssl命令看服务器支持的加密套件：

openssl s_client -connect your-domain:443 -tls1_2 -cipher ALL

然后在Java客户端指定这些套件：

SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, null, new SecureRandom());

SSLParameters params = sslContext.getDefaultSSLParameters();
// 替换成你从openssl输出里看到的服务器支持的套件
params.setCipherSuites(new String[]{"TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"});

Client client = ClientBuilder.newBuilder()
    .sslContext(sslContext)
    .sslParameters(params)
    .build();

五、开启SSL日志定位细节 #

如果上面的方法都没解决，就开详细的SSL握手日志，看具体哪一步失败了。启动Java程序时加VM参数：

-Djavax.net.debug=ssl:handshake

日志里会显示握手过程的每一步：比如是版本协商失败？证书验证失败？还是套件协商失败？根据日志再针对性解决。

内容的提问来源于stack exchange，提问作者gauti