Java Web通过HTTPS调用失败，报handshake_failure错误求助

你遇到的handshake_failure是JSSE握手流程里的典型问题，虽然已经把服务器证书放进cacerts，但结合你提供的JSSE跟踪日志，还有几个关键方向需要排查：

1. 确认证书是否被JVM正确加载 #

很多时候我们以为证书导入成功，但实际可能路径不对或者导入过程有疏漏：

• 先用keytool命令验证目标证书是否存在于cacerts中：

  keytool -list -keystore $JAVA_HOME/jre/lib/security/cacerts -alias your-server-cert-alias
  

  默认密码是changeit，如果提示证书不存在，重新执行导入命令：

  keytool -importcert -file server-cert.crt -keystore $JAVA_HOME/jre/lib/security/cacerts -alias unique-server-alias
  

• 还要确保应用确实使用了这个cacerts文件，有些场景下应用会指定自定义信任库，你可以通过JVM参数强制指定：

  -Djavax.net.ssl.trustStore=$JAVA_HOME/jre/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit
  

2. 排查密码套件兼容性 #

日志里出现的Ignoring unsupported cipher suite: TLS_ECDHE_ECDSA_W...，说明客户端尝试使用的密码套件要么不被当前JVM支持，要么和服务器的套件不匹配：

• 先确认服务器支持的密码套件，用openssl命令测试：

  openssl s_client -connect your-server-domain:443 -cipher ALL
  

  输出里会列出服务器接受的套件列表。
• 然后在客户端代码中指定兼容的套件，比如：

  SSLSocketFactory factory = (SSLSocketFactory) SSLSocketFactory.getDefault();
  SSLSocket socket = (SSLSocket) factory.createSocket("your-server-domain", 443);
  String[] supportedCiphers = {"TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384", "TLS_RSA_WITH_AES_256_CBC_SHA"};
  socket.setEnabledCipherSuites(supportedCiphers);
  

  或者通过JVM参数全局配置：

  -Djavax.net.ssl.enabledCipherSuites=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_256_CBC_SHA
  

3. 验证TLS版本兼容性 #

如果服务器只支持较新的TLS版本（比如TLS 1.2或1.3），但你的客户端JVM默认用了旧版本（比如TLS 1.0），也会直接导致握手失败：

• 尝试通过JVM参数强制指定TLS版本：

  -Dhttps.protocols=TLSv1.2,TLSv1.3
  

• 或者在代码里显式设置：

  SSLContext context = SSLContext.getInstance("TLSv1.2");
  context.init(null, null, new SecureRandom());
  HttpsURLConnection.setDefaultSSLSocketFactory(context.getSocketFactory());
  

4. 检查证书链完整性 #

如果服务器证书是由中间CA签发的，只导入服务器证书到cacerts是不够的，必须把整个证书链（包括中间CA证书）都导入，否则JVM无法验证证书的信任链路。你可以从服务器导出完整的证书链后再导入到cacerts中。

附上你提供的JSSE跟踪信息：

trigger seeding of SecureRandom
done seeding SecureRandom
Allow unsafe renegotiation: false
Allow legacy hello messages: true
Is initial handshake: true
Is secure renegotiation: false
main, setSoTimeout(5000) called
Ignoring unsupported cipher suite: TLS_ECDHE_ECDSA_W...

内容的提问来源于stack exchange，提问作者Shades88