求助：Java连接Explicit FTP over TLS的FTPS时出现SSLHandshakeException

Hey Jon, 我之前也碰到过一模一样的情况——FileZilla连Explicit FTPS服务器顺得不行，Java代码一跑就报javax.net.ssl.SSLHandshakeException，折腾了好几天才找到问题根源，给你几个排查方向和解决方案，应该能帮到你：

1. 先确认你用对了FTP客户端 #

普通的FTPClient（比如Apache Commons Net里的）不支持Explicit FTPS，必须用FTPSClient，而且初始化的时候要指定开启Explicit模式：

// 构造方法传true表示启用Explicit FTPS模式
FTPSClient ftpsClient = new FTPSClient(true);

如果之前用的是FTPClient，直接换成FTPSClient就能解决一半问题。

2. 检查TLS协议版本兼容性 #

很多旧版本的Java（比如Java 7及以下）默认禁用了TLS 1.2/1.3，而现在的FTPS服务器大多要求用这些高版本协议。你可以手动指定Java使用的TLS版本：

// 在初始化客户端前设置系统属性
System.setProperty("https.protocols", "TLSv1.2,TLSv1.3");

// 或者直接给FTPSClient设置SSL上下文
SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, null, null);
ftpsClient.setSSLContext(sslContext);

你可以对比FileZilla的连接日志，看看它用的是哪个TLS版本，Java这边保持一致就行。

3. 解决证书信任问题 #

FileZilla会自动提示信任自签名证书，但Java默认只信任CA签发的正规证书。如果你的FTPS服务器用的是自签名证书，有两种处理方式：

• 生产环境推荐：把服务器证书导入Java的信任库（cacerts）
  先用FileZilla导出服务器证书（连接后查看证书详情，导出成.crt文件），然后用keytool命令导入：

  keytool -import -alias ftps-server -file /path/to/server.crt -keystore $JAVA_HOME/jre/lib/security/cacerts
  

  默认信任库密码是changeit。
• 调试临时用：在代码中跳过证书验证（别在生产环境用！）
  可以自定义一个信任所有证书的TrustManager，示例代码如下：

  TrustManager[] trustAllCerts = new TrustManager[]{
      new X509TrustManager() {
          public X509Certificate[] getAcceptedIssuers() { return null; }
          public void checkClientTrusted(X509Certificate[] certs, String authType) {}
          public void checkServerTrusted(X509Certificate[] certs, String authType) {}
      }
  };
  SSLContext sslContext = SSLContext.getInstance("TLS");
  sslContext.init(null, trustAllCerts, new SecureRandom());
  ftpsClient.setSSLContext(sslContext);
  

4. 对齐FileZilla的连接配置 #

FileZilla默认用被动模式，而且会发送PROT P命令设置私有保护级别。Java的FTPSClient可能需要手动配置这些：

// 启用被动模式
ftpsClient.enterLocalPassiveMode();
// 设置保护级别为私有（和FileZilla一致）
ftpsClient.execPROT("P");

另外，你可以把Java的CommandListener日志和FileZilla的连接日志对比，看看命令序列有没有差异——比如Java有没有发送AUTH TLS命令，服务器的响应是什么，这通常能定位到具体的命令或配置问题。

完整的示例代码 #

这里给你一个能用的Explicit FTPS连接示例（基于Apache Commons Net）：

import org.apache.commons.net.ftp.FTPSClient;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManager;
import javax.net.ssl.X509TrustManager;
import java.security.cert.X509Certificate;
import java.io.IOException;

public class ExplicitFTPSExample {
    public static void main(String[] args) {
        String server = "your-ftps-server";
        int port = 21;
        String username = "your-username";
        String password = "your-password";

        FTPSClient ftpsClient = new FTPSClient(true);
        try {
            // 调试用：信任所有证书（生产环境替换为导入证书的方式）
            TrustManager[] trustAllCerts = new TrustManager[]{new X509TrustManager() {
                public X509Certificate[] getAcceptedIssuers() { return null; }
                public void checkClientTrusted(X509Certificate[] certs, String authType) {}
                public void checkServerTrusted(X509Certificate[] certs, String authType) {}
            }};
            SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
            sslContext.init(null, trustAllCerts, new java.security.SecureRandom());
            ftpsClient.setSSLContext(sslContext);

            // 连接服务器
            ftpsClient.connect(server, port);
            // 登录
            ftpsClient.login(username, password);
            // 设置保护级别和被动模式
            ftpsClient.execPROT("P");
            ftpsClient.enterLocalPassiveMode();

            // 测试：列出服务器文件
            String[] fileNames = ftpsClient.listNames();
            if (fileNames != null) {
                for (String name : fileNames) {
                    System.out.println("文件：" + name);
                }
            }

            // 退出并断开连接
            ftpsClient.logout();
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            if (ftpsClient.isConnected()) {
                try {
                    ftpsClient.disconnect();
                } catch (IOException e) {
                    e.printStackTrace();
                }
            }
        }
    }
}

你可以先从检查客户端类型和证书问题入手，这两个是最常见的原因。如果还是不行，把Java的日志和FileZilla的日志对比，看看哪里的命令不一样，应该就能找到问题了。

内容的提问来源于stack exchange，提问作者Louie