仅为MongoDB配置SSL连接后，外部REST请求报错如何解决？

你遇到的问题很典型——通过全局JVM系统属性配置MongoDB的SSL连接后，其他外部HTTPS请求（比如谷歌翻译API）因为找不到对应证书而失败。先理清楚原因，再给你几个可行的解决方案：

问题根源 #

你设置的javax.net.ssl.trustStore、javax.net.ssl.keyStore这些系统属性是全局生效的，JVM中所有的HTTPS请求（包括MongoDB连接和外部API调用）都会强制使用你指定的自定义密钥库和信任库。而你的自定义信任库中并没有包含谷歌翻译API服务器的根证书，导致JVM无法验证谷歌的SSL证书，最终抛出PKIX路径构建失败的错误。

解决方案 #

方案1：为MongoDB单独配置SSL上下文（推荐）

放弃全局系统属性，为MongoDB客户端单独创建专属的SSLContext，这样不会干扰其他HTTPS请求的默认证书验证逻辑。代码示例如下：

@Bean 
public MongoClientOptions mongoClientOptions() throws Exception {
    // 加载MongoDB专属的信任库和密钥库
    KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
    try (InputStream tsInputStream = new FileInputStream("path/to/your-mongo-truststore.jks")) {
        trustStore.load(tsInputStream, "your-truststore-password".toCharArray());
    }

    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
    try (InputStream ksInputStream = new FileInputStream("path/to/your-mongo-keystore.jks")) {
        keyStore.load(ksInputStream, "your-keystore-password".toCharArray());
    }

    // 初始化信任管理器和密钥管理器
    TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    trustManagerFactory.init(trustStore);

    KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
    keyManagerFactory.init(keyStore, "your-keystore-password".toCharArray());

    // 创建专属的SSLContext
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), null);

    // 配置MongoClient使用该SSLContext
    MongoClientOptions.Builder builder = MongoClientOptions.builder();
    return builder.sslEnabled(true)
                  .sslInvalidHostNameAllowed(true)
                  .sslContext(sslContext)
                  .build();
}

这种方式隔离了MongoDB的SSL配置和其他请求，是最稳妥的做法。

方案2：将外部API证书导入自定义信任库

如果你坚持要使用全局系统属性，可以把谷歌翻译API的根证书导入到你的自定义信任库中：

1. 获取谷歌翻译API的根证书：通过浏览器访问谷歌翻译API的域名（如translation.googleapis.com），查看并导出其根CA证书。
2. 使用keytool命令将证书导入你的信任库：

keytool -import -alias google-translate-root -file /path/to/google-root-cert.crt -keystore /path/to/your-truststore.jks

执行命令后输入信任库密码完成导入。不过这种方法的弊端是，后续如果新增其他外部API调用，需要重复导入对应证书，维护成本较高。

方案3：通过MongoDB连接字符串指定SSL属性（适用于旧版驱动）

部分旧版本的Mongo Java驱动支持通过连接字符串参数直接指定SSL相关配置，无需设置全局系统属性。示例连接字符串：

mongodb://username:password@mongo-host:27017/your-db?ssl=true&sslInvalidHostNameAllowed=true&sslTrustStore=path/to/mongo-truststore.jks&sslTrustStorePassword=your-tspwd&sslKeyStore=path/to/mongo-keystore.jks&sslKeyStorePassword=your-kspwd

这种方式也能避免全局属性冲突，但需要确认你的驱动版本支持这些参数。

总结 #

优先推荐方案1，因为它从根源上避免了全局配置带来的冲突问题，后续扩展其他外部API时也不需要额外调整。

内容的提问来源于stack exchange，提问作者Januka samaranyake