如何在HttpsURLConnection中传递证书信息以建立HTTPS连接？

嘿，这个问题我太熟悉了！你碰到的java.security.cert.CertificateException和javax.net.ssl.SSLHandshakeException，本质原因是JVM默认的信任库不认可你Tomcat服务器用的证书——毕竟HTTP是明文传输不需要验证，HTTPS则要求客户端确认服务器证书的合法性。下面给你两种实用的解决思路，按需选择就行：

这种方式适合需要多个Java应用都信任该服务器证书的场景，一次配置全局生效：

• 首先，如果你手里的证书是PEM格式（比如server.crt），可以先用keytool把它导入到自定义信任库（推荐先测试）：

  # 导入到自定义信任库
  keytool -importcert -file server.crt -keystore my-truststore.jks -alias tomcat-server
  

  执行后会提示你设置信任库密码，然后输入yes确认信任该证书。
• 如果要让所有Java应用都信任，直接导入JVM默认的信任库（路径一般是$JAVA_HOME/jre/lib/security/cacerts，默认密码是changeit）：

  keytool -importcert -file server.crt -keystore $JAVA_HOME/jre/lib/security/cacerts -alias tomcat-server
  

• 重启你的Java应用，之后HttpsURLConnection就能正常验证服务器证书了。

如果不想修改系统级的信任库，或者只需要当前应用信任该证书，直接在代码里配置自定义的SSL上下文即可，完整示例代码如下：

import javax.net.ssl.*;
import java.io.FileInputStream;
import java.security.KeyStore;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import java.net.URL;

public class HttpsClientWithCustomCert {
    public static void main(String[] args) throws Exception {
        // 1. 加载本地的服务器证书文件（替换成你的证书路径）
        CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
        try (FileInputStream certIn = new FileInputStream("/path/to/your/server.crt")) {
            X509Certificate serverCert = (X509Certificate) certFactory.generateCertificate(certIn);

            // 2. 创建一个空的信任库，并把服务器证书加进去
            KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
            trustStore.load(null, null); // 初始化空信任库
            trustStore.setCertificateEntry("tomcat-server-alias", serverCert);

            // 3. 生成信任管理器
            TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
            trustManagerFactory.init(trustStore);

            // 4. 初始化SSL上下文
            SSLContext sslContext = SSLContext.getInstance("TLS");
            sslContext.init(null, trustManagerFactory.getTrustManagers(), null);

            // 5. 打开HTTPS连接并设置自定义的SSLSocketFactory
            URL targetUrl = new URL("https://your-tomcat-server-domain:port/your-path");
            HttpsURLConnection connection = (HttpsURLConnection) targetUrl.openConnection();
            connection.setSSLSocketFactory(sslContext.getSocketFactory());

            // 测试连接，获取响应码
            int responseCode = connection.getResponseCode();
            System.out.println("连接成功，响应码：" + responseCode);

            // 记得关闭连接
            connection.disconnect();
        }
    }
}

补充说明： #

如果你的证书是带密码的PKCS#12格式（比如server.p12），只需要修改加载信任库的部分：

KeyStore trustStore = KeyStore.getInstance("PKCS12");
try (FileInputStream p12In = new FileInputStream("/path/to/your/server.p12")) {
    trustStore.load(p12In, "your-cert-password".toCharArray());
}

之后的步骤和上面一致即可。

内容的提问来源于stack exchange，提问作者Dhaval Goti