WebSphere8.5(Java7)调用api.softlayer.com遇TLSv1.2连接重置错误

我来帮你搞定这个TLSv1.2连接重置的问题！结合你用的WebSphere 8.5（基于Java7）和Apache HttpClient 4.5.3的场景，我整理了服务器全局配置+代码层面强制启用两套方案，双管齐下确保解决问题：

WebSphere会管控JVM的SSL协议优先级，所以必须先在控制台配置全局启用TLSv1.2：

• 登录WebSphere管理控制台（地址一般是 https://<你的服务器IP>:9043/ibm/console）
• 依次导航：安全性 > 全局安全性
• 在「SSL和证书」区域，点击 SSL配置 > 管理端点安全配置
• 展开你的目标节点（比如NodeDefaultSSLSettings），点击「SSL配置」下的默认配置（通常是DefaultSSLSettings）
• 进入「SSL配置设置」页面，找到质量保护(QoP)设置，修改以下参数：
  • 协议：选择或手动输入 TLSv1.2（Java7支持该协议，但WebSphere默认下拉列表可能没显示，直接输入即可）
  • 密码组：选择包含TLS1.2的套件，比如 SSL_TLSv2 或者具体的TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256（确保和api.softlayer.com的支持列表匹配）
• 保存配置后，必须重启WebSphere服务器，让全局SSL设置生效

即使WebSphere全局配置了TLSv1.2，HttpClient可能会使用自定义的SSL上下文，所以需要在代码里显式指定协议：

方案1：创建带TLSv1.2的HttpClient实例 #

import org.apache.http.client.HttpClient;
import org.apache.http.config.Registry;
import org.apache.http.config.RegistryBuilder;
import org.apache.http.conn.socket.ConnectionSocketFactory;
import org.apache.http.conn.socket.PlainConnectionSocketFactory;
import org.apache.http.conn.ssl.SSLConnectionSocketFactory;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.ssl.SSLContexts;

import javax.net.ssl.SSLContext;
import java.security.NoSuchAlgorithmException;

public class HttpClientTLSConfig {
    public static HttpClient getTLS12EnabledClient() throws NoSuchAlgorithmException {
        // 初始化TLSv1.2专属SSL上下文
        SSLContext sslContext = SSLContexts.custom()
                .useProtocol("TLSv1.2")
                .build();
        
        // 注册HTTP和HTTPS的Socket工厂，强制HTTPS用TLSv1.2
        Registry<ConnectionSocketFactory> socketFactoryRegistry = RegistryBuilder.<ConnectionSocketFactory>create()
                .register("http", PlainConnectionSocketFactory.getSocketFactory())
                .register("https", new SSLConnectionSocketFactory(
                        sslContext,
                        new String[]{"TLSv1.2"},
                        null,
                        SSLConnectionSocketFactory.getDefaultHostnameVerifier()
                ))
                .build();
        
        // 构建支持TLSv1.2的HttpClient
        return HttpClients.custom()
                .setSSLSocketFactory(new SSLConnectionSocketFactory(sslContext))
                .setConnectionManager(org.apache.http.impl.conn.PoolingHttpClientConnectionManagerBuilder.create()
                        .setSocketFactoryRegistry(socketFactoryRegistry)
                        .build())
                .build();
    }
}

方案2：简化版CloseableHttpClient配置 #

如果你的代码用的是CloseableHttpClient，可以用更简洁的写法：

import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.ssl.SSLContexts;

import javax.net.ssl.SSLContext;
import java.security.NoSuchAlgorithmException;

// 初始化CloseableHttpClient
CloseableHttpClient httpClient = HttpClients.custom()
        .setSSLContext(SSLContexts.custom().useProtocol("TLSv1.2").build())
        .setSSLHostnameVerifier(SSLConnectionSocketFactory.getDefaultHostnameVerifier())
        .build();

• Java7版本要求：Java7默认支持TLSv1.2，但早期版本（低于Update 131）支持不完全，建议升级到Java7 Update 211及以上的补丁包，避免出现协议兼容性问题
• 配置优先级：代码层面的SSL上下文配置会覆盖WebSphere的全局配置，所以建议两个层面都配置，确保万无一失
• 验证方法：配置完成后，可以通过抓包工具（比如Wireshark）查看连接的SSL协议版本，或者在代码里添加日志打印SSL协商结果，确认使用的是TLSv1.2
• 密码套件匹配：如果出现「no cipher suites in common」错误，需要调整WebSphere和代码里的密码套件，确保和api.softlayer.com支持的套件一致

内容的提问来源于stack exchange，提问作者Ioa