服务器无证书时HttpsUrlConnection为何可连接？证书安装后Java客户端访问疑问

咱们先拆解第一个问题：服务器没装任何证书，为啥HttpsUrlConnection还能建立连接？

正常情况下，HTTPS连接必须经过证书验证，服务器没有合法证书的话，客户端应该直接拒绝连接才对。能连上大概率是以下几种情况之一：

• 你误解了服务器的证书状态：可能服务器其实配置了自签名证书，只是你没意识到。比如很多服务器默认会生成一个自签证书用于HTTPS，你可以用openssl s_client -connect 你的服务器地址:443命令查看服务器返回的证书信息，确认真实情况。
• 客户端代码绕过了证书验证：如果你的代码里之前有自定义X509TrustManager的逻辑，比如写了一个不做任何校验的信任管理器（比如下面这种），那不管服务器有没有证书，连接都会被允许：

TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {
        public X509Certificate[] getAcceptedIssuers() { return null; }
        public void checkClientTrusted(X509Certificate[] certs, String authType) {}
        public void checkServerTrusted(X509Certificate[] certs, String authType) {}
    }
};

• JVM信任库被修改过：有人把服务器的自签证书（或其他无效证书）导入了JRE默认的cacerts信任库，导致默认的TrustManager信任了这个“不合规”的证书。

再来说第二个问题：装了Let's Encrypt证书后浏览器正常，但Java代码访问出问题。

从你给出的代码片段看，你手动创建了SSLContext并调用sc.init(null, null, ...)，这里第二个参数传null表示使用默认的TrustManager，但问题可能出在这些地方：

1. Java版本太旧：Let's Encrypt的根证书ISRG Root X1在Java 8u101之前的版本、Java 7及更早版本的默认信任库中是没有的。浏览器会自动补全缺失的根证书，但Java客户端不会，所以会验证失败。
2. 服务器证书链不完整：Let's Encrypt的证书需要完整的证书链（服务器证书+中间证书），如果服务器只配置了单独的服务器证书（用了cert.pem而不是fullchain.pem），浏览器能自动拉取中间证书，但Java客户端做不到，导致验证失败。
3. 自定义SSLContext的方式有问题：虽然你传了null用默认TrustManager，但有时候手动创建SSLContext可能会忽略一些系统级的信任配置，不如直接用默认的SSLContext更稳妥。

对应的解决方案： #

• 升级Java版本：如果是Java 8，至少升级到u101及以上；Java 11+默认已经包含ISRG Root X1，无需额外操作。
• 导入Let's Encrypt根证书到JVM信任库：如果不能升级Java，下载ISRG Root X1证书文件，用下面的命令导入到JRE的cacerts中（默认密码是changeit）：

keytool -import -trustcacerts -alias isrgrootx1 -file ISRG-Root-X1.pem -keystore $JAVA_HOME/jre/lib/security/cacerts

• 修正服务器证书配置：确保服务器使用Let's Encrypt提供的fullchain.pem文件作为证书，而不是单独的cert.pem，这样证书链才完整。
• 简化代码中的SSLContext使用：不需要手动创建SSLContext，直接用默认的即可，代码可以改成这样：

URL httpsURL = new URL(urlStringServerEndPoint);
HttpsURLConnection conn = (HttpsURLConnection) httpsURL.openConnection();
// 后续设置连接参数即可，无需自定义SSLContext

如果必须自定义SSLContext，也要确保用默认的TrustManager链：

SSLContext sc = SSLContext.getDefault();
// 或者显式初始化默认TrustManager
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init((KeyStore) null);
sc.init(null, tmf.getTrustManagers(), new SecureRandom());
conn.setSSLSocketFactory(sc.getSocketFactory());

内容的提问来源于stack exchange，提问作者user1300214