Java 8搭配Apache HTTP Client使用通配符证书时出现SSLPeerUnverifiedException问题排查

看起来你遇到了一个挺让人挠头的问题——明明通配符证书*.lan.corp.com理论上应该覆盖abc.lan.corp.com，Chrome访问也显示证书有效，但Java 8搭配Apache HTTP Client 4.5.9却抛出了SSLPeerUnverifiedException。我来帮你拆解一下可能的原因和解决思路：

核心疑问：为什么理论上匹配的证书会验证失败？ #

根据RFC 2818的规范，*.lan.corp.com这类通配符证书应该匹配所有以.lan.corp.com结尾的单层级子域名（比如abc.lan.corp.com，其中abc是单个域名标签），Chrome的验证逻辑也符合这个规范，所以能正常访问。那Java端的问题大概率是验证逻辑的差异导致的。

最可能的原因：依赖版本冲突 #

你提到使用的是Apache HTTP Client 4.5.9，但如果你的项目依赖中混入了旧版本的HTTP Client包（比如4.3.x及更早），就会触发旧版本的严格验证逻辑：

• 旧版本的AbstractVerifier在验证通配符时，除了检查域名是否以通配符后的后缀结尾，还会额外要求通配符匹配的前缀部分不能包含嵌套的点结构。
• 举个例子，用*.lan.corp.com匹配abc.lan.corp.com时，旧版本会误判abc后面的.lan.corp.com包含多个点，从而认为不匹配，抛出异常。

其他排查方向 #

1. 证书实际配置检查：虽然错误日志显示SAN是*.lan.corp.com，还是建议用openssl s_client -connect abc.lan.corp.com:443 | openssl x509 -noout -text命令确认证书的实际内容，确保没有拼写错误或SAN配置遗漏。
2. Java安全参数限制：检查JVM参数或java.security文件中的jdk.certpath.disabledAlgorithms等配置，是否有规则限制了通配符证书的验证。
3. 域名异常：确认访问的域名没有隐藏的空格、不可见字符等（虽然概率较低，但可以通过打印域名的字符编码排查）。

解决方案 #

1. 优先解决依赖冲突：
   • 用Maven的mvn dependency:tree或Gradle的./gradlew dependencies命令，扫描项目依赖树，找出所有httpclient、httpcore相关的旧版本依赖。
   • 在构建脚本中排除旧版本依赖，确保运行时只有4.5.9版本的包被加载。比如Maven的排除配置：

     <dependency>
         <groupId>org.apache.httpcomponents</groupId>
         <artifactId>httpclient</artifactId>
         <version>4.5.9</version>
         <exclusions>
             <exclusion>
                 <groupId>org.apache.httpcomponents</groupId>
                 <artifactId>httpcore</artifactId>
             </exclusion>
         </exclusions>
     </dependency>
     <dependency>
         <groupId>org.apache.httpcomponents</groupId>
         <artifactId>httpcore</artifactId>
         <version>4.4.11</version> <!-- 4.5.9对应的httpcore版本 -->
     </dependency>
     

2. 应急方案：自定义HostnameVerifier（不推荐生产环境）：
   如果暂时无法解决依赖问题，且是内部可信环境，可以自定义一个宽松的主机名验证器跳过严格检查，但这会降低SSL安全性，仅限应急使用：

   CloseableHttpClient httpClient = HttpClients.custom()
       .setSSLHostnameVerifier((hostname, session) -> {
           // 仅内部环境使用，验证域名是否以指定后缀结尾
           return hostname.endsWith(".lan.corp.com");
       })
       .build();
   

备注：内容来源于stack exchange，提问作者Adrian