调用Web Service时出现证书认证错误求助

嘿，这个错误我太熟悉了——你的Java客户端突然连不上用了好几个月的Web Service，核心问题就是Java的信任库不认可目标服务端的SSL证书，大概率是服务端最近更新了证书，而你的客户端没同步信任新的证书链。

先拆解下错误信息里的关键点：

[22 mar 2018 09:17:38,828] ERROR com.nisa.sms.EnviarSMS - (EnviarSMS.java:51) - Error al enviar el sms: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target...

这个报错本质是Java在验证服务端证书时，找不到一条从服务端证书到本地信任库中根证书的有效路径，所以拒绝建立SSL连接。

下面是一步步的解决办法：

1. 获取目标服务端的SSL证书 #

你需要先把服务端的证书导出来，有两种简单方式：

• 用keytool命令直接获取：
  在终端执行以下命令（替换成你的服务端地址和端口）：

  keytool -printcert -sslserver your-service-domain:port -rfc > server.crt
  

  执行后会生成一个server.crt文件，里面是服务端证书的Base64编码内容。
• 用浏览器导出：
  打开浏览器访问你的Web Service地址，点击地址栏的锁图标 → 「证书」→ 「详细信息」→ 「复制到文件」，选择「Base64编码的X.509(.CER)」格式，保存成server.crt文件。

2. 将证书导入Java的默认信任库 #

Java的默认信任库是cacerts文件，路径通常在：

• Windows：C:\Program Files\Java\jdk版本\jre\lib\security\cacerts
• Linux/macOS：/usr/lib/jvm/java版本/jre/lib/security/cacerts（JDK11+版本可能是/usr/lib/jvm/java版本/lib/security/cacerts）

执行导入命令（注意需要管理员权限：Windows右键终端以管理员运行，Linux/macOS加sudo）：

keytool -import -alias my-webservice-cert -file server.crt -keystore cacerts

• alias可以随便起，比如用服务端域名当别名，方便以后识别
• 默认的信任库密码是changeit，输入时终端不会显示字符，正常输入即可
• 提示是否信任该证书时，输入yes确认

3. 验证证书是否导入成功 #

执行以下命令检查：

keytool -list -keystore cacerts -alias my-webservice-cert

如果能看到证书的详细信息，说明导入成功了。

额外注意事项 #

• 如果你的应用使用了自定义信任库（比如代码里指定了javax.net.ssl.trustStore参数），那要把证书导入到这个自定义的信任库，而不是默认的cacerts。
• 有时候问题出在服务端：如果服务端没有配置完整的证书链（缺少中间证书），也会导致客户端验证失败，这种情况需要联系服务端管理员修复证书配置。
• 如果是容器化部署的应用（比如Docker），要确保容器内的JDK信任库已经更新了证书，或者把自定义信任库挂载到容器里。

内容的提问来源于stack exchange，提问作者amanbur