如何配置Spring Batch通过SSL访问MongoDB及证书问题排查

你完全没遗漏——Spring Boot其实是支持MongoDB SSL连接的，只是默认的spring.data.mongodb.*属性里没有直接暴露所有SSL相关配置项，单纯设置ssl=true只开启了SSL模式，但没有指定客户端需要提供的证书信息，这就是你看到Mongo日志报错的原因。

下面给你两种可行的配置方案：

方案一：通过Mongo URI配置完整SSL参数 #

MongoDB的连接URI支持直接追加SSL相关参数，你需要把证书路径、密码等信息加到URI里，而不只是ssl=true。比如：

spring.data.mongodb.uri=mongodb://username:password@host:port/test?ssl=true&sslCertificateKeyFile=/path/to/your/client-cert.p12&sslCertificateKeyFilePassword=your-cert-password&sslCAFile=/path/to/ca-cert.pem

关键参数说明：

• ssl=true：启用SSL连接
• sslCertificateKeyFile：客户端身份证书的路径（支持.p12/.pfx格式的带密钥证书）
• sslCertificateKeyFilePassword：证书的密码
• sslCAFile：CA根证书路径（如果服务器用的是自签名或者私有CA颁发的证书，需要指定这个来验证服务器身份）

如果你的证书是PEM格式（分离的证书和密钥文件），可以用sslCertificateFile和sslKeyFile参数分别指定：

spring.data.mongodb.uri=mongodb://username:password@host:port/test?ssl=true&sslCertificateFile=/path/to/client-cert.pem&sslKeyFile=/path/to/client-key.pem&sslKeyFilePassword=your-key-password&sslCAFile=/path/to/ca-cert.pem

方案二：自定义MongoClient（Java配置方式） #

如果URI参数满足不了你的需求（比如证书存在内存中、需要更复杂的SSL上下文配置），可以通过自定义MongoClient来实现：

1. 创建一个配置类，手动构建带有SSL设置的MongoClient：

import com.mongodb.MongoClientSettings;
import com.mongodb.client.MongoClients;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.data.mongodb.core.MongoTemplate;

import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import java.io.FileInputStream;
import java.security.KeyStore;

@Configuration
public class MongoSslConfig {

    @Bean
    public MongoTemplate mongoTemplate() throws Exception {
        // 加载客户端证书到KeyStore
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        try (FileInputStream fis = new FileInputStream("/path/to/client-cert.p12")) {
            keyStore.load(fis, "your-cert-password".toCharArray());
        }

        // 初始化KeyManagerFactory
        KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        keyManagerFactory.init(keyStore, "your-cert-password".toCharArray());

        // 创建SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(keyManagerFactory.getKeyManagers(), null, null);

        // 构建MongoClientSettings
        MongoClientSettings settings = MongoClientSettings.builder()
                .applyConnectionString(new com.mongodb.ConnectionString("mongodb://username:password@host:port/test?ssl=true"))
                .applySslSettings(builder -> builder.context(sslContext).enabled(true))
                .build();

        return new MongoTemplate(MongoClients.create(settings), "test");
    }
}

2. 如果需要验证服务器证书（比如自签名证书），还可以添加TrustManager的配置，加载CA证书到TrustStore：

// 加载CA证书到TrustStore
KeyStore trustStore = KeyStore.getInstance("JKS");
try (FileInputStream fis = new FileInputStream("/path/to/ca-cert.jks")) {
    trustStore.load(fis, "truststore-password".toCharArray());
}

TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
trustManagerFactory.init(trustStore);

// 初始化SSLContext时传入TrustManager
sslContext.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), null);

常见问题排查 #

• 如果遇到主机名不匹配的错误，可以临时添加sslInvalidHostNameAllowed=true到URI（但生产环境不建议，最好确保证书里的主机名和Mongo服务器一致）
• 证书路径最好使用绝对路径，或者通过Spring的@Value读取配置文件里的路径，避免硬编码
• 确保Mongo服务器的配置里已经开启了SSL，并且信任你的客户端证书

内容的提问来源于stack exchange，提问作者codem1966