使用GitLab流水线发布Gradle包时出现PKIX路径构建失败错误

针对你遇到的PKIX路径构建失败问题，试试下面这些排查和解决步骤：

1. 确认Gradle使用的JDK与证书导入的JDK一致 #

Gradle可能会使用镜像中其他路径的JDK，导致找不到你导入的证书。在流水线脚本里添加以下命令验证：

./gradlew --version
echo $JAVA_HOME

对比输出的JDK路径是否和你导入证书的/opt/java/openjdk完全一致。如果不一致，需要调整org.gradle.java.home参数或者确保证书导入到Gradle实际使用的JDK的cacerts中。

2. 验证证书是否成功导入目标cacerts文件 #

在流水线脚本中添加命令，检查证书是否存在于指定的信任库：

keytool -list -alias gitlab-ssl-cert -keystore /opt/java/openjdk/lib/security/cacerts -storepass changeit

如果输出提示alias not found，说明镜像构建时的keytool命令没有正确执行，可能是证书文件路径错误，或者cacerts文件权限问题。需要重新检查Dockerfile中的证书复制和导入步骤。

3. 确保导入的是完整的证书链 #

单独导入GitLab服务器证书可能不够，因为Java需要完整的证书链（根CA + 中间CA + 服务器证书）才能验证信任。可以用以下命令获取完整证书链：

openssl s_client -connect gitlab.example.com:443 -showcerts </dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > gitlab_full_chain.crt

将生成的gitlab_full_chain.crt替换原来的证书文件，重新构建镜像并导入。

4. 直接指定证书文件而非修改系统cacerts #

如果修改系统cacerts有问题，可以尝试在GRADLE_OPTS中直接指定证书文件：

variables:
  GRADLE_OPTS: >-
    -Djavax.net.ssl.trustStoreType=PEM
    -Djavax.net.ssl.trustStore=/path/to/gitlab_full_chain.crt
    -Dorg.gradle.java.home=/opt/java/openjdk

注意要确保证书文件能在流水线容器中访问到（比如将证书提交到项目仓库，或者在Docker镜像中包含该文件）。

5. 检查GRADLE_OPTS的格式是否正确 #

确认GRADLE_OPTS的换行和参数是否正确传递。在脚本中添加echo $GRADLE_OPTS，查看输出是否为完整的参数列表，没有被截断或格式错误。

内容的提问来源于stack exchange，提问作者mdailey77