WebSphere调用Rest服务遇证书链错误，本地正常QA环境异常求助

嘿，我之前也踩过类似的WAS环境下RestTemplate调用HTTPS接口的坑，结合你说的本地正常、QA环境报错的情况，基本可以确定是环境差异导致的问题，咱们一步步来排查和解决：

1. 优先排查SSL证书信任问题 #

这是最常见的原因——本地环境可能已经把目标HTTPS接口的证书导入了JVM信任库，但QA环境的WAS用的JRE没同步这个配置。

• 解决步骤：
  1. 先导出目标接口的证书：
     • Linux/macOS可以用命令：openssl s_client -connect host:port < /dev/null | openssl x509 -outform PEM > target-cert.pem
     • Windows直接用浏览器访问目标接口，从地址栏的锁图标里导出证书为PEM格式。
  2. 将证书导入WAS使用的JRE信任库：
     找到WAS对应的JRE目录，执行命令：

     keytool -import -alias target-api-cert -file target-cert.pem -keystore $WAS_JRE_HOME/lib/security/cacerts
     

     默认信任库密码是changeit，导入后记得重启WAS服务。

2. 检查QA环境的代理配置 #

很多企业的QA环境会要求通过代理访问外部接口，而本地不需要，RestTemplate没配置代理就会报错。

• 解决方法：给RestTemplate手动配置代理：

  // 创建带代理的请求工厂
  SimpleClientHttpRequestFactory requestFactory = new SimpleClientHttpRequestFactory();
  Proxy proxy = new Proxy(Proxy.Type.HTTP, new InetSocketAddress("你的代理主机", 代理端口));
  requestFactory.setProxy(proxy);
  
  // 初始化RestTemplate时使用这个工厂
  RestTemplate restTemplate = new RestTemplate(requestFactory);
  

  如果WAS本身配置了全局代理，也可以考虑使用适配WAS代理的ClientHttpRequestFactory实现，让RestTemplate自动继承WAS的代理设置。

3. 检查WAS的Java安全策略限制 #

WAS的Java安全策略文件（java.policy）可能限制了服务器的网络出站请求，导致无法连接目标接口。

• 解决步骤：
  找到WAS安装目录下的java.policy文件（一般在$WAS_HOME/java/jre/lib/security/下），添加以下权限配置：

  permission java.net.SocketPermission "host:port", "connect,resolve";
  

  把host:port替换成你要调用的Rest服务的地址和端口，保存后重启WAS。

4. 验证QA环境的网络连通性 #

先确认QA环境的WAS服务器能不能正常访问目标接口：

• 登录到QA的WAS服务器，用telnet host port测试端口是否能连通；
• 或者用curl https://host:port/resourcename直接发起请求，看是否能得到响应。
  如果这些命令都失败，那就是网络层面的问题，得联系运维团队排查防火墙、路由或者目标服务的访问权限。

另外，你提供的日志被截断了，完整的异常栈（比如后面跟着的PKIX path building failed或者Connection refused）能帮我们更快定位问题，建议先把完整的错误日志打出来看看。

内容的提问来源于stack exchange，提问作者Mohan