PCF环境下如何通过JAVA_OPTS指定外部SSL信任库路径？

针对你遇到的证书外部化需求——既要兼容已有的SSLConnectionFactory配置，又要把原本在cacerts中的证书通过JAVA_OPTS的-D参数加载，下面是具体的实操方案：

1. 准备自定义信任库文件 #

首先需要把cacerts中需要的证书抽离出来，打包成独立的可外部访问的信任库（JDK1.7默认支持JKS格式）：

• 从本地JDK的cacerts导出目标证书：

  keytool -exportcert -alias <你的证书别名> -keystore $JAVA_HOME/jre/lib/security/cacerts -file target-cert.cer
  

  （默认cacerts密码是changeit，如果你的环境修改过请替换）
• 创建新的自定义信任库并导入证书：

  keytool -importcert -alias <自定义别名> -file target-cert.cer -keystore my-custom-truststore.jks
  

  按照提示设置信任库密码（比如my-trust-pass），后续配置会用到这个密码。

2. 在PCF中托管信任库文件 #

因为生产发布次数受限，不能把信任库打包到构建包中，推荐用PCF的Volume Services挂载持久化存储：

• 绑定一个Volume Service到你的应用（比如AWS EFS、Azure Files等，根据你的PCF环境支持的类型选择）
• 将my-custom-truststore.jks上传到这个Volume对应的存储路径，应用容器启动后就能通过挂载路径访问到这个文件，比如/mnt/pcf-volume/my-custom-truststore.jks

小提示：如果证书内容很小，也可以将证书文件Base64编码后通过环境变量传递，在应用启动脚本中解码到临时目录，但这种方式不如持久化挂载可靠，仅作为备选。

3. 配置PCF应用的JAVA_OPTS环境变量 #

通过PCF CLI设置应用的JAVA_OPTS，指定自定义信任库的参数：

cf set-env <你的应用名称> JAVA_OPTS "-Djavax.net.ssl.trustStore=/mnt/pcf-volume/my-custom-truststore.jks -Djavax.net.ssl.trustStorePassword=my-trust-pass -Djavax.net.ssl.trustStoreType=JKS"

• javax.net.ssl.trustStore：指定信任库的绝对路径（就是你挂载Volume后的路径）
• javax.net.ssl.trustStorePassword：对应你创建信任库时设置的密码
• javax.net.ssl.trustStoreType：信任库类型，JDK1.7默认是JKS，如果你用的是PKCS12格式可以修改为PKCS12

4. 兼容已有的SSLConnectionFactory配置 #

因为你已经通过SSLConnectionFactory读取了jre/lib/security/wasadm中的证书，现在结合自定义信任库后，应用会优先使用你通过-D参数指定的信任库。如果需要同时加载两个信任库的证书，可以在代码中合并信任库：

• 读取自定义信任库的KeyStore，再读取wasadm的KeyStore，将后者的证书条目导入到前者中，然后用合并后的KeyStore初始化SSLContext。

验证配置 #

设置完成后，重启应用：

cf restart <你的应用名称>

可以通过查看应用日志确认参数是否生效：

cf logs <你的应用名称> --recent

日志中应该能看到类似javax.net.ssl.trustStore=/mnt/pcf-volume/my-custom-truststore.jks的启动参数。

内容的提问来源于stack exchange，提问作者Sagar Kharab