javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX路径构建失败错误详解

2024-03-17 13:28:29

深入解析 javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX 路径构建失败错误

引言

在使用 Java 进行网络通信时，你可能会遇到一个棘手的错误：javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX 路径构建失败。此错误表明客户端无法验证服务器证书的真实性，从而导致 SSL 握手失败。

问题根源

此错误的根本原因通常是客户端信任库中缺少服务器证书链中的根证书。服务器证书链是一系列证书，其中每个证书都由下一个证书签名。根证书是此链中的最高级别证书，由受信任的证书颁发机构 (CA) 签名。如果客户端信任库中不包含根证书，客户端将无法验证服务器证书并建立安全连接。

解决方案

解决此错误需要确保客户端信任库中包含正确的根证书。以下步骤提供了详细的解决方案：

1. 验证服务器证书

首先，检查服务器证书链并确保根证书已安装在客户端信任库中。
使用 keytool 实用程序检查客户端信任库的内容：

keytool -list -keystore <truststore_path>

2. 配置 Java 系统属性

添加 Java 系统属性以指定信任库和密码：

-Djavax.net.ssl.trustStore=<truststore_path>
-Djavax.net.ssl.trustStorePassword=<truststore_password>

3. 设置环境变量

将上述设置添加到 CATALINA_OPTS 或 JAVA_OPTS 环境变量中：

-Djavax.net.ssl.trustStore=<truststore_path>
-Djavax.net.ssl.trustStorePassword=<truststore_password>

4. 使用 InstallCert 实用程序

下载并运行 InstallCert 实用程序将服务器证书添加到客户端信任库：

java -jar InstallCert.jar <server_certificate_path>

5. 检查主机名验证

确保主机名验证已正确配置，否则可能会导致 SSL 握手失败。
将以下代码添加到 Java 代码中：

conn1.setHostnameVerifier(new HostnameVerifier() {
  public boolean verify(String hostname, SSLSession session) {
    return true;
  }
});

示例代码

URL url = new URL(urlStr);
URLConnection conn = url.openConnection();
if (conn instanceof HttpsURLConnection) {
  HttpsURLConnection conn1 = (HttpsURLConnection) url.openConnection();
  conn1.setHostnameVerifier(new HostnameVerifier() {
    public boolean verify(String hostname, SSLSession session) {
      return true;
    }
  });
  conn1.setSSLSocketFactory(new SSLSocketFactory() {
    @Override
    public Socket createSocket(Socket socket, String hostname, int port, boolean autoClose) throws IOException {
      return SSLSocketFactory.getDefault().createSocket(socket, hostname, port, autoClose);
    }
    @Override
    public String[] getDefaultCipherSuites() {
      return SSLSocketFactory.getDefault().getDefaultCipherSuites();
    }
    @Override
    public String[] getSupportedCipherSuites() {
      return SSLSocketFactory.getDefault().getSupportedCipherSuites();
    }
  });
  reply.load(conn1.getInputStream());
}

附加提示

客户端和服务器应使用相同的 TLS/SSL 协议版本和密码套件。
检查防火墙或代理服务器是否存在阻止 SSL 流量的规则。
更新 Java 运行时环境以应用最新的安全补丁。

结论

通过遵循这些解决方案，你可以有效地解决 javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX 路径构建失败错误。通过确保服务器证书已验证并客户端信任库已正确配置，你可以建立安全可靠的网络连接。