Grails应用对接TLS 1.1升级API时握手错误排查求助

首先，我注意到你遇到的核心问题是：API服务器禁用TLS 1.0后，本地Grails应用通过run-app的JVM参数配置解决了握手错误，但部署到独立Tomcat后，无论是Grails的war fork配置还是Tomcat全局配置都没生效。下面是几个关键的排查方向和解决方案：

1. 修复Tomcat JVM参数的拼写错误 #

从你提供的Catalina日志里看到，配置的参数是-Dhttps.protocol=TLSv1.1,TLSv1.2——这里有个致命的拼写错误！正确的系统属性名是复数形式的https.protocols，不是单数的https.protocol。这个错误会导致JVM忽略这个参数，自然不会生效。

修正后的参数应该是：

-Dhttps.protocols=TLSv1.1,TLSv1.2

2. 确认Tomcat JVM参数的配置位置正确 #

对于独立Tomcat，你需要把JVM参数添加到catalina.sh（Linux）或catalina.bat（Windows）的JAVA_OPTS变量中，而不是随便添加到其他地方。比如在Linux环境下：
打开${CATALINA_HOME}/bin/catalina.sh，找到JAVA_OPTS的定义部分，添加参数：

JAVA_OPTS="$JAVA_OPTS -Dhttps.protocols=TLSv1.1,TLSv1.2"

修改后重启Tomcat，再次检查Catalina日志，确保参数正确加载。

3. 验证Grails应用实际读取的系统属性 #

为了确认应用是否真的读到了https.protocols参数，可以在Grails应用中添加一段调试代码，比如在UserProfileService或者启动时打印该属性：

println "Current https.protocols value: ${System.getProperty('https.protocols')}"

部署war包后查看应用日志，如果输出为空或者不是你设置的值，说明参数没有正确传递到应用的JVM进程中。

4. 放弃Grails的grails.project.fork.war配置 #

需要明确的是：Grails的grails.project.fork.war配置仅在使用grails run-war命令启动应用时生效。如果你是把war包直接部署到独立Tomcat服务器，这个配置完全不会被Tomcat读取，所以可以不用再尝试这个方向了。

5. 直接在wslite客户端显式指定SSL协议 #

因为错误来自wslite.rest.RESTClientException，你可以绕过JVM全局配置，直接在代码中给wslite的RESTClient指定支持的SSL协议，这是最可靠的办法：

import wslite.rest.RESTClient

def apiClient = new RESTClient("https://your-api-domain.com/")
// 显式设置支持的TLS协议
apiClient.sslProtocols = ["TLSv1.1", "TLSv1.2"]

// 后续的API调用...

这种方式不受JVM全局参数的影响，确保客户端只会使用指定的协议进行握手。

6. 检查JDK版本的TLS支持 #

确保Tomcat使用的JDK版本支持TLSv1.1：

• JDK 6需要升级到Update 111及以上版本才支持TLSv1.1/TLSv1.2
• JDK 7默认支持，但部分早期版本可能需要手动启用
• JDK 8及以上版本默认支持TLSv1.1/TLSv1.2

可以通过java -version命令查看Tomcat使用的JDK版本，必要时升级JDK。

内容的提问来源于stack exchange，提问作者Sandeepan Nath