在NixOS中使用keytool将证书添加至JRE cacert

这个错误本质是你的JVM不信任目标HTTPS服务的SSL证书，看起来你已经尝试用keytool导入证书，但可能是步骤细节或者路径出了问题。我给你梳理下完整的排查和解决流程：

第一步：确保拿到正确的目标服务证书链 #

很多时候导入失败是因为证书本身不完整，先通过openssl导出目标服务的完整证书链（有些服务用中间CA签发，只导服务器证书会导致路径验证失败）：

openssl s_client -connect your-target-domain:443 -showcerts < /dev/null | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > target-service-full.crt

这条命令会把目标服务的所有关联证书都保存到target-service-full.crt文件里，比单独下载服务器证书更可靠。

第二步：确认JVM实际使用的信任库路径 #

你用的/nix/store/...路径是OracleJDK的cacerts，但要先确认这是不是当前运行Java程序的JVM对应的信任库。执行下面的命令查看：

java -XshowSettings:properties | grep javax.net.ssl.trustStore

输出的路径必须和你导入证书的keystore路径完全一致，否则你导入到了错误的信任库，程序还是会报错。

第三步：正确执行证书导入命令 #

你之前的命令可能缺少了指定证书文件的-file参数，完整的导入命令应该是：

keytool -importcert -alias MYALIAS -file target-service-full.crt -keystore /nix/store/10b0a6m8z23xw1ds0pmckmqfx1pvyjli-oraclejdk-8u381/jre/lib/security/cacerts

执行后会提示输入密码，OracleJDK的cacerts默认密码是changeit，输入后会问你是否信任该证书，输入yes确认即可。

第四步：验证证书是否成功导入 #

导入完成后，用下面的命令检查你的别名证书是否存在：

keytool -list -alias MYALIAS -keystore /nix/store/.../cacerts

如果输出了证书的详细信息，说明导入成功。

额外排查点 #

• 权限问题：如果导入时提示权限不足，需要用sudo执行命令，因为cacerts是系统级文件，普通用户通常没有写入权限。
• 自定义信任库：如果你的Java程序启动时指定了-Djavax.net.ssl.trustStore参数，那你需要把证书导入到这个自定义信任库，而不是默认的cacerts。
• 证书链不完整：如果导入单个服务器证书还是报错，一定要用第一步的openssl命令导出完整证书链再尝试导入。

按照这些步骤操作后，再运行你的Java程序，应该就能解决SSL握手的问题了。

内容的提问来源于stack exchange，提问作者konstructor