SSLHandshakeException求助：握手时远程主机关闭连接，WS连接失败

这种明明搜遍论坛却还是卡壳的感觉真的闹心——我之前也帮不少开发者排查过这个错误，结合你给出的ClientHello日志（能看到是TLSv1版本的握手请求），咱们从几个核心方向入手试试：

• 先排查TLS版本兼容性问题
  你的日志显示客户端发起的是TLSv1版本的握手，现在绝大多数正规服务器都已经禁用了TLSv1这种老旧版本（毕竟存在严重安全漏洞）。服务器直接关闭连接，大概率是因为它根本不支持TLSv1。
  你需要强制客户端使用更高版本的TLS，比如TLSv1.2或TLSv1.3。如果是Java项目，最简单的方式是设置系统属性：

  System.setProperty("https.protocols", "TLSv1.2,TLSv1.3");
  

  要是用的是特定WS框架（比如CXF、Spring WebService），直接在框架的客户端配置里指定协议版本会更稳妥。

• 确认你更新的是正确的cacerts文件
  你提到更新了cacerts但没用，这里很容易踩坑：有可能你改的不是当前JVM实际使用的那个cacerts文件。比如你的机器上装了多个JDK，你误改了闲置的那个。
  先通过命令确认JVM的home路径：

  java -XshowSettings:properties
  

  找到java.home对应的目录，然后去jre/lib/security/下找cacerts文件。另外，导入证书的时候要确保命令正确，比如：

  keytool -import -alias server-cert -file 你的服务器证书.crt -keystore cacerts
  

  默认密码是changeit，导入完成后一定要重启你的应用，不然新证书不会生效。

• 调整SSL协商相关的JVM参数
  日志里显示Allow unsafe renegotiation: false和Allow legacy hello messages: true，这两个设置可能和服务器的配置冲突。有些服务器不接受旧版Hello消息，或者需要开启安全重协商才能正常握手。
  你可以尝试添加这两个JVM启动参数来排查：

  -Dsun.security.ssl.allowUnsafeRenegotiation=true
  -Dsun.security.ssl.allowLegacyHelloMessages=false
  

  注意：开启不安全重协商有一定安全风险，这只是临时排查手段，确认问题后要评估是否适合长期使用。

• 检查WS客户端的专属SSL配置
  有些WS框架会有自己的SSL上下文配置，哪怕你改了JVM的cacerts，框架可能没用上。比如你之前试过忽略证书但没生效，大概率是配置没绑定到WS客户端上。举个CXF框架的临时排查例子（生产环境别这么用！）：

  // 临时信任所有证书，仅用于排查
  SSLContext sslContext = SSLContexts.custom()
      .loadTrustMaterial((chain, authType) -> true)
      .build();
  HttpClient httpClient = HttpClients.custom()
      .setSSLContext(sslContext)
      .build();
  // 将这个httpClient绑定到你的WS客户端实例上
  

  要是这么做能成功，就说明问题确实出在证书信任上，赶紧回到第二步把正确的证书导入到对应cacerts里。

内容的提问来源于stack exchange，提问作者Rydermark