如何为Apache HttpClient 5的单个实例配置专属的旧版加密协议（TLSv1、SSLv3）

我完全理解你不想全局修改JVM安全配置的顾虑——全局放开旧协议会把整个应用暴露在安全风险下，只为特定的HttpClient实例启用这些协议才是更稳妥的做法。下面我会一步步带你实现这个目标，完全基于实例级别的配置，不会影响应用里的其他组件：

核心思路 #

要实现实例隔离，我们需要：

1. 临时调整JVM安全属性，创建一个支持旧协议（SSLv3/TLSv1）的SSLContext，然后立即恢复原有配置（避免全局影响）
2. 为这个SSLContext搭配一个专属的TlsStrategy，明确指定要启用的旧协议版本
3. 将这个自定义策略注入到目标HttpClient实例的连接管理器中，确保只有该实例使用这些旧协议

修改你的代码 #

我们主要需要调整acceptAllTlsStrategy方法，同时修改测试方法里的策略调用：

1. 替换原有的信任策略方法为支持旧协议的版本

把你原来的acceptAllTlsStrategy方法替换成下面这个版本：

private TlsStrategy acceptAllTlsStrategyWithLegacyProtocols() throws Exception {
    final TrustStrategy acceptingTrustStrategy = (cert, authType) -> true;

    // 保存原有安全属性，后续要恢复
    String originalTlsDisabled = Security.getProperty("jdk.tls.disabledAlgorithms");
    String originalCertpathDisabled = Security.getProperty("jdk.certpath.disabledAlgorithms");

    SSLContext sslContext = null;
    try {
        // 临时移除禁用的算法，让SSLContext能初始化旧协议支持
        Security.setProperty("jdk.tls.disabledAlgorithms", "");
        Security.setProperty("jdk.certpath.disabledAlgorithms", "");

        // 创建支持旧协议的SSLContext，加载自定义信任策略
        sslContext = SSLContexts.custom()
                .loadTrustMaterial(null, acceptingTrustStrategy)
                .build();
    } finally {
        // 立即恢复原有安全属性，避免影响其他代码
        Security.setProperty("jdk.tls.disabledAlgorithms", originalTlsDisabled);
        Security.setProperty("jdk.certpath.disabledAlgorithms", originalCertpathDisabled);
    }

    // 构建专属的TlsStrategy，明确指定要启用的旧协议
    return ClientTlsStrategyBuilder.create()
            .setSslContext(sslContext)
            // 按需指定协议：比如只需要SSLv3就写{"SSLv3"}，需要多个就用{"SSLv3", "TLSv1"}
            .setEnabledProtocols(new String[]{"SSLv3", "TLSv1"})
            .setHostnameVerifier(NoopHostnameVerifier.INSTANCE)
            .build();
}

2. 在测试方法中使用新的策略

修改testUsingApacheClient方法里的策略初始化代码：

// 替换原来的acceptAllTlsStrategy()调用
TlsStrategy tlsStrategy = acceptAllTlsStrategyWithLegacyProtocols();

为什么这么做？ #

• 临时修改安全属性：我们只在创建SSLContext的极短时间内调整全局属性，创建完成后立即恢复，不会对应用的其他部分造成影响
• 实例级隔离：每个HttpClient实例可以搭配自己的TlsStrategy和SSLContext，你可以同时运行一个使用现代协议的客户端和一个使用旧协议的客户端，互相独立
• 明确指定协议：通过setEnabledProtocols强制限定该实例使用的加密协议，避免意外启用其他不安全或不必要的协议

重要安全提醒 #

SSLv3和TLSv1存在严重的安全漏洞（比如POODLE、BEAST攻击），请只在绝对必要的场景下使用这种配置，并且尽量限制该客户端实例的使用范围，只和必须使用旧协议的legacy服务器通信。

验证配置 #

你可以保留原来的javax.net.debug系统属性，运行测试时查看SSL握手日志，确认客户端确实使用了指定的旧协议进行通信。

备注：内容来源于stack exchange，提问作者dev_jongtae