Apache Karaf中Apache CXF客户端访问SSL证书不匹配URL的HTTPS问题

首先咱们得把问题根源说透：你的API证书是*.mycompany.com，这个通配符仅支持匹配二级域名（比如foo.mycompany.com），但测试环境用的是三级域名beta.staging.mycompany.com，严格的hostname校验会判定两者不匹配。独立Java程序可能因为默认配置或SSL上下文差异绕过了这个校验，但Karaf环境里的CXF客户端启用了严格校验规则，所以抛出了异常。

下面是几种解决方案，按生产环境适配度排序：

1. 导入适配三级域名的证书（推荐） #

如果条件允许，让运维团队签发包含beta.staging.mycompany.com或*.staging.mycompany.com的证书，再导入到Karaf的信任库中：

• 找到Karaf默认信任库路径：通常是${KARAF_HOME}/etc/keystores/truststore.jks
• 使用keytool命令导入证书：

keytool -importcert -file /path/to/your/cert.crt -alias beta-staging -keystore ${KARAF_HOME}/etc/keystores/truststore.jks

• 重启Karaf使信任库配置生效。

2. 配置CXF客户端自定义Hostname验证器 #

如果暂时无法更换证书，可以给CXF客户端添加自定义校验逻辑，允许三级域名匹配：

Client client = ClientBuilder.newClient();

// 获取CXF HTTP管道配置
HTTPConduit conduit = WebClient.getConfig(client).getHttpConduit();
TLSClientParameters tlsParams = conduit.getTlsClientParameters();
if (tlsParams == null) {
    tlsParams = new TLSClientParameters();
    conduit.setTlsClientParameters(tlsParams);
}

// 自定义Hostname验证规则，允许所有.mycompany.com后缀的域名
tlsParams.setHostnameVerifier((hostname, session) -> hostname.endsWith(".mycompany.com"));
// 也可以更严格：hostname.equals("beta.staging.mycompany.com")

String url = "https://beta.staging.mycompany.com/item/1";
WebTarget webtarget = client.target(url);
Response response = webtarget.request(MediaType.APPLICATION_JSON).get(Response.class);

3. 临时禁用Hostname验证（仅测试环境，不推荐） #

如果只是临时测试用，可以关闭hostname校验，但绝对不能在生产环境使用：

Client client = ClientBuilder.newClient();

HTTPConduit conduit = WebClient.getConfig(client).getHttpConduit();
TLSClientParameters tlsParams = conduit.getTlsClientParameters();
if (tlsParams == null) {
    tlsParams = new TLSClientParameters();
    conduit.setTlsClientParameters(tlsParams);
}

// 关闭CN校验
tlsParams.setDisableCNCheck(true);

String url = "https://beta.staging.mycompany.com/item/1";
WebTarget webtarget = client.target(url);
Response response = webtarget.request(MediaType.APPLICATION_JSON).get(Response.class);

额外注意：在Karaf环境中，要确保你的bundle依赖了org.apache.cxf.cxf-rt-transports-http包，否则无法获取HTTPConduit配置。可以在pom.xml或bnd.bnd文件中声明该依赖。

内容的提问来源于stack exchange，提问作者anna