如何在JSSE默认密钥库生成自签名证书实现localhost SSL通信？

核心错误点 #

1. CN字段为空：SSL握手会验证服务端证书的CN（或SAN）与连接的主机名（localhost）是否匹配，空CN直接导致主机名验证失败，中断握手。
2. 混淆密钥库与信任库：系统默认的cacerts是信任库（仅存公钥证书），而非服务端需要的密钥库（需存带私钥的证书）；且你未指定-keystore参数，默认操作的是用户目录下的.keystore，而非cacerts。
3. 重复导入证书：导出和导入操作针对同一个密钥库，自然提示证书重复。

正确操作流程（Docker环境） #

1. 生成服务端密钥对（默认密钥库） #

执行命令时必须将CN设为localhost，确保主机名验证通过：

keytool -genkeypair -storepass changeit -alias test -keyalg RSA -validity 365 -dname "CN=localhost, OU=Dev, O=Local, L=, ST=, C="

该命令会在当前用户主目录生成.keystore文件，包含带私钥的自签名证书，服务端启动时JSSE会默认加载这个密钥库。

2. 导出服务端证书 #

从默认密钥库导出证书到本地文件：

keytool -exportcert -storepass changeit -alias test -file test.cer

3. 将证书导入系统信任库（cacerts） #

必须指定-keystore参数指向Docker内cacerts的实际路径（比如OpenJDK路径为/usr/lib/jvm/java-1.8.0-openjdk/jre/lib/security/cacerts）：

keytool -importcert -keystore /path/to/cacerts -storepass changeit -alias test -file test.cer -noprompt

-noprompt参数用于跳过手动确认，直接完成导入。

4. 验证配置 #

• 服务端启动无需额外JVM参数，JSSE会自动加载默认的.keystore密钥库。
• 客户端启动也无需额外参数，JSSE会自动加载包含服务端证书的cacerts信任库，正常完成SSL握手。

内容的提问来源于stack exchange，提问作者Stephen Ware