javax.net.ssl.SSLHandshakeException 是一个常见的 SSL/TLS 握手异常，通常发生在 Java 应用程序尝试通过 HTTPS 与服务器建立安全连接时。这个异常可能由多种原因引起，包括证书不可信、TLS 版本不匹配、或是配置问题等。以下将详细介绍一些常见原因及其解决方法。
一、常见原因
-
证书不受信任：如果服务器使用的是自签名证书，或者是由不受信任的证书颁发机构（CA）签发的证书，Java 客户端会拒绝连接。
-
TLS 版本不匹配：服务器和客户端支持的 TLS 版本可能不一致。例如，服务器仅支持 TLS 1.2，而客户端试图使用 TLS 1.0。
-
证书过期或未生效：如果证书已经过期，或是在未生效的时间段内使用，连接也会失败。
-
中间证书缺失：有时服务器的证书链中缺少中间证书，导致客户端无法验证证书的完整性。
二、解决方案
1. 导入自签名证书
如果服务器使用的是自签名证书，需要将其导入到 Java 的信任库中。可以使用 keytool 工具进行操作。假设证书文件名为 server.crt，导入的命令如下：
keytool -import -alias myserver -file server.crt -keystore cacerts -storepass changeit
这里的 cacerts 文件通常位于 $JAVA_HOME/lib/security/cacerts，而 changeit 是默认的密码。导入后，重新运行 Java 应用，尝试建立连接。
2. 确认 TLS 版本
确保 Java 应用支持所需的 TLS 版本。可以在代码中强制使用特定的 TLS 版本，如下所示：
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
public class SSLUtil {
public static void setTLS() {
try {
// 创建一个 SSLContext
SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, null, null);
SSLContext.setDefault(sslContext);
} catch (Exception e) {
e.printStackTrace();
}
}
}
在执行 HTTPS 请求之前，调用 SSLUtil.setTLS() 方法来确保使用 TLS 1.2 协议。
3. 检查证书有效性
在尝试建立 SSL 连接之前，可以使用工具（例如 openssl）检查证书的有效性：
openssl s_client -connect yourserver.com:443
这将显示服务器返回的证书及其有效性。如果发现证书已经过期，需要联系服务器管理员更新证书。
4. 配置 Java 客户端的证书链
如果服务器缺少中间证书，可以手动将中间证书导入到信任库中，或者使用过滤器配置 Java 客户端，确保客户端可以正确处理返回的证书链。
结论
SSLHandshakeException 可能由于多种因素导致。理解错误的根本原因并采取相应的解决方案是修复这一问题的关键。通过导入证书、确认 TLS 版本、检查证书有效性，以及配置证书链，可以有效地解决大多数的 SSL 握手异常。希望以上方法能帮助你更顺利地处理 SSL/TLS 相关的问题。
