WSO2连接HTTPS端点方法及SSL握手异常解决与证书获取

要让WSO2（比如ESB、APIM这类产品）顺利连接HTTPS端点，核心是搞定SSL握手的信任问题，基本流程如下：

• 定义HTTPS端点：不管是在管理控制台配置还是编写synapse配置文件，直接把端点地址设为https://<目标域名>:<端口>/<路径>即可，比如https://api.example.com/v1/data。
• 让WSO2信任目标端点的证书：WSO2默认使用<WSO2_HOME>/repository/resources/security/client-truststore.jks作为客户端信任库，必须把目标端点的证书导入这里，否则必然会触发SSL握手错误。

这个错误本质就是SSL握手失败，我碰到过好几次，常见原因和对应解决办法整理如下：

1. 目标证书未导入WSO2的信任库 #

这是最常见的情况，解决步骤很明确：

• 先获取目标端点的证书（方法见下文）。
• 使用keytool命令将证书导入信任库，命令示例：

  keytool -importcert -alias <自定义别名，比如api-example> -file <证书文件路径> -keystore <WSO2_HOME>/repository/resources/security/client-truststore.jks -storepass wso2carbon
  

  注意：默认信任库密码是wso2carbon，如果修改过请替换为实际密码。
• 重启WSO2服务，新导入的证书才会生效。

2. 证书链不完整 #

有些HTTPS端点的证书由中间CA签发，只导入服务器证书无法完成信任链验证，需要导入完整的证书链。

• 解决办法：要么通过浏览器导出所有层级的证书（从服务器证书到根CA），要么直接向服务方索要完整的证书链文件，然后逐个导入信任库，或者一次性导入包含完整链的文件。

3. 主机名验证失败 #

如果证书中的CN（通用名称）或SAN（主题备用名称）与实际访问的域名不匹配，会触发主机名验证失败。

• 临时测试方案：可以临时关闭主机名验证（生产环境绝对不建议使用，存在安全风险），修改<WSO2_HOME>/repository/conf/deployment.toml：

  [transport.http]
  hostname_verifier = "AllowAll"
  

• 生产环境正确做法：确保证书中的CN/SAN与访问域名一致，或者改用证书中对应的域名访问端点。

4. SSL/TLS版本不兼容 #

如果目标端点仅支持旧版本的SSL/TLS（比如TLSv1.0），而WSO2默认禁用了这些不安全的协议，也会导致握手失败。

• 解决办法：在<WSO2_HOME>/repository/conf/deployment.toml中启用对应协议（注意安全风险）：

  [transport.http.ssl]
  enabled_protocols = ["TLSv1.2", "TLSv1.1", "TLSv1.0"]
  

方法1：使用OpenSSL命令（推荐） #

这是我平时处理这类问题最常用的方式，Linux/macOS可直接使用，Windows也可安装OpenSSL工具后执行：

openssl s_client -connect <目标域名>:<端口> </dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > server.crt

举个例子，获取api.example.com的证书：

openssl s_client -connect api.example.com:443 </dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > api-example.crt

方法2：通过浏览器导出 #

适合可视化操作场景，对Windows用户友好：

• 打开浏览器访问目标HTTPS站点，点击地址栏的小锁图标。
• 选择“证书”进入详情页面，切换到“详细信息”标签页。
• 点击“复制到文件”，按照向导选择Base64编码的X.509格式，保存为.crt文件即可。

方法3：使用keytool命令 #

如果不想安装OpenSSL，用Java自带的keytool也能完成：

keytool -printcert -sslserver <目标域名>:<端口> > temp.txt

打开生成的temp.txt，复制从-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----的全部内容，保存为单独的.crt文件即可。

内容的提问来源于stack exchange，提问作者user9596637