在Spring Boot项目中，遇到 javax.net.ssl.SSLHandshakeException: PKIX路径构建失败：sun.security.exception 的异常问题，通常是因为SSL/TLS证书不被信任或者存在配置问题。这个问题大多发生在访问HTTPS接口时，Java程序无法找到有效的受信任证书，导致SSL握手失败。这篇文章将从原因分析、解决方案及代码示例来探讨如何解决这个问题。
一、原因分析
-
证书未被信任：如果你使用的HTTPS服务器使用的是自签名证书或者未被信任的CA颁发的证书，Java的默认信任管理器将拒绝与该服务器的SSL连接。
-
缺失证书：如果你的应用需要访问的服务器使用的是一个合法的CA颁发的证书，你的Java环境中可能缺少相关的CA证书。
-
JDK CA证书库过时：如果你的JDK版本较旧，可能会导致某些新颁发的CA证书未被识别。
二、解决方案
-
导入自签名证书： 如果你要访问的服务使用的是自签名证书，你需要将该证书导入到Java的信任库中。具体步骤如下：
-
使用浏览器或其他工具获取自签名证书，并将其保存为
.crt文件。 -
使用
keytool命令将证书导入到 Java 的信任库中，例如cacerts文件：bash keytool -importcert -file your_cert.crt -keystore "路径到你的jdk\jre\lib\security\cacerts" -alias your_alias默认的密码为changeit。 -
更新JDK： 确保你使用的是最新版本的 JDK，这将带来更新的受信任CA证书库。可以在Oracle官网或OpenJDK官网下载最新版本。
-
使用自定义TrustManager： 如果不想将证书导入全局的
cacerts文件，可以在代码中自定义SSL连接，替换默认的TrustManager。例如：
```java import javax.net.ssl.*; import java.security.cert.X509Certificate; import java.security.SecureRandom;
public class SSLUtil { public static void trustAllCertificates() { try { TrustManager[] trustAllCerts = new TrustManager[]{ new X509TrustManager() { public X509Certificate[] getAcceptedIssuers() { return null; } public void checkClientTrusted(X509Certificate[] certs, String authType) { } public void checkServerTrusted(X509Certificate[] certs, String authType) { } } };
SSLContext sc = SSLContext.getInstance("SSL");
sc.init(null, trustAllCerts, new SecureRandom());
HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());
} catch (Exception e) {
e.printStackTrace();
}
}
public static void main(String[] args) {
trustAllCertificates();
// 你的HTTP请求代码
}
}
``
上述代码中，trustAllCertificates` 方法会创建一个接受所有证书的TrustManager。这种方式仅限于开发和测试环境，生产环境务必使用信任的证书。
三、总结
在Spring Boot项目中解决SSLHandshakeException问题，需要首先明确异常的原因，并选择合适的解决方案。无论是导入未受信任证书、更新JDK，还是编写自定义TrustManager，都需要谨慎操作，确保安全性。特别是在生产环境中，确保使用受信任的CA证书，能够提供良好的数据加密和身份验证保障。希望本文对解决SSLHandshakeException问题有所帮助。
