Mac系统下Java中SSL证书使用及WINDOWS-ROOT等效参数查询

我刚好踩过这个坑，Mac上确实没有和Windows的WINDOWS-ROOT完全对应的系统证书库参数，但有几种靠谱的方式让Java直接复用Mac系统的根证书，不用手动导入一堆证书，下面给你详细说：

方法一：直接使用Mac系统钥匙串（推荐，Java 8u161+/OpenJDK 11+适用） #

从Oracle Java 8u161版本开始，以及所有OpenJDK 11及以上版本，Java在Mac上原生支持读取系统钥匙串里的根证书。你只需要在启动Java程序时添加以下VM参数：

java -Djavax.net.ssl.trustStore=/Library/Keychains/System.keychain \
     -Djavax.net.ssl.trustStoreType=KeychainStore \
     -Djavax.net.ssl.trustStorePassword=changeit \
     YourMainClass

参数说明： #

• KeychainStore是Mac专属的信任库类型，专门用来识别系统钥匙串
• /Library/Keychains/System.keychain是Mac系统级的根证书存储路径，如果你需要用户级证书，也可以用~/Library/Keychains/login.keychain-db
• trustStorePassword填changeit就行——这是Java信任库的默认密码，系统钥匙串的实际访问权限由Mac的系统权限控制，这个密码更多是个必填的占位符

方法二：手动导出系统证书到Java默认信任库（兼容老版本Java） #

如果你的Java版本比较老（比如Java 8u161之前的版本），不支持KeychainStore，可以手动把Mac系统里的根证书导出并导入到Java的cacerts文件中：

1. 打开Mac的「钥匙串访问」应用，切换到「系统」钥匙串，找到「证书」分类下你需要的根证书
2. 右键证书，选择「导出」，格式选PEM文件，保存到本地
3. 用keytool命令导入到Java的默认信任库：

   sudo keytool -importcert -file /path/to/your/exported-cert.pem \
                -alias my-mac-root-cert \
                -keystore $JAVA_HOME/jre/lib/security/cacerts \
                -storepass changeit
   

   • 注意：修改系统级的cacerts需要sudo权限；如果升级Java版本，这个操作需要重新做一次，因为新的JRE会自带全新的cacerts文件

验证配置是否生效 #

可以添加调试参数查看Java实际加载的信任库信息，确认配置是否生效：

java -Djavax.net.debug=ssl,trustmanager YourMainClass

运行后在日志里找类似这样的输出：

trustStore is: /Library/Keychains/System.keychain
trustStore type is: KeychainStore

如果看到这些内容，就说明Java已经在使用Mac的系统根证书库了。

内容的提问来源于stack exchange，提问作者betseyb