Oracle JRE 7环境下Microsoft JDBC驱动启用TLSv1.2的方案求助

我之前碰到过好几个类似的场景——在无法快速升级JRE的前提下，这几个经过验证的临时方案应该能帮你解决SSL连接失败的问题：

方案1：升级JDBC驱动并强制指定TLSv1.2 #

Microsoft JDBC Driver 6.0及以上版本，支持在JRE 7环境下手动指定TLS协议版本，不需要依赖JRE本身的默认TLS支持。

• 步骤1：更新JDBC驱动
  替换现有驱动为mssql-jdbc-6.4.0.jre7.jar（或更高的JRE7兼容版本，注意选明确标注支持JRE 7的包）。

• 步骤2：修改数据库连接字符串
  在连接URL里添加强制TLSv1.2的参数：

  jdbc:sqlserver://<server>:<port>;databaseName=<db>;encrypt=true;trustServerCertificate=true;sslProtocol=TLSv1.2
  

  • encrypt=true：启用加密连接
  • trustServerCertificate=true：如果用的是自签名证书或内部CA，可暂时跳过证书验证（生产环境建议配置信任证书链）
  • sslProtocol=TLSv1.2：强制驱动使用TLSv1.2协议

• 步骤3：添加JVM启动参数
  给应用加上JVM参数，强制客户端优先使用TLSv1.2：

  -Djdk.tls.client.protocols=TLSv1.2
  

  注：部分早期JRE 7版本可能不识别这个参数，但结合新版JDBC驱动，多数场景下能生效。

方案2：用SSL代理工具（Stunnel）做桥接 #

通过中间代理中转应用与SQL Server的连接：应用用旧协议连接本地代理，代理用TLSv1.2连接远端SQL Server。

• 步骤1：安装并配置Stunnel
  下载对应操作系统的Stunnel版本，创建配置文件stunnel.conf：

  [sqlserver-proxy]
  client = yes
  accept = 127.0.0.1:14330
  connect = <sql-server-ip>:1433
  sslVersion = TLSv1.2
  verifyChain = no  # 生产环境建议配置证书验证
  

  • accept：本地监听端口，应用后续连接这个端口
  • connect：SQL Server的实际地址和端口
  • sslVersion = TLSv1.2：强制代理使用TLSv1.2

• 步骤2：启动Stunnel
  运行命令启动代理：

  stunnel stunnel.conf
  

• 步骤3：修改应用连接字符串
  把应用的数据库连接地址改成本地代理端口：

  jdbc:sqlserver://127.0.0.1:14330;databaseName=<db>
  

  此时应用无需配置加密参数，所有加密逻辑由Stunnel处理。

方案3：修改JRE安全配置（风险较高，需测试） #

部分未升级到1.7.0_131的JRE 7版本，通过修改安全配置文件有可能启用TLSv1.2支持：

• 步骤1：编辑JRE安全配置
  找到JRE安装目录下的lib/security/java.security文件，做两处修改：

  1. 找到jdk.tls.disabledAlgorithms行，把TLSv1.2从禁用列表里移除（如果存在）
  2. 添加一行配置：jdk.tls.client.protocols=TLSv1.2

• 步骤2：重启应用
  修改后重启应用，查看SSL握手日志是否切换到TLSv1.2。
  注：这个方案不是所有JRE 7版本都有效，因为底层加密库可能没包含TLSv1.2实现，一定要先在测试环境验证。

内容的提问来源于stack exchange，提问作者Vadim Zverev