java - HTTPS 客户端无法连接 - PKIX 路径构建失败但根证书存在

Question

我有一个 Java 中的 HTTP 客户端，我收到一个 SSLHandshakeException 消息“PKIX 路径构建失败 [classname] 无法找到请求目标的有效证书路径”

我进行了搜索，但所有的建议似乎都是根 CA 不在信任库中。除了......我试图将根证书添加到信任库和 keytool 说

“证书已存在于别名下的系统范围的 CA keystore 中”，带有别名。

我通过访问我试图在浏览器中访问的站点(Chrome - 但没有浏览器提示任何问题)获得了证书来尝试此操作，并且我在链中导出了根证书。然后我尝试导入上面的结果(我当时中止了导入)。

我现在不确定如何解决这个问题。

我注意到证书链中的浏览器显示了 CA 的第二个证书(因此 CA 证书 1 -> CA 证书 2 -> 目标证书)，我想我可以尝试导入那个证书，但我觉得我正在拍摄在黑暗中。

还有什么我想念的吗？

Answer 1

为了使证书有效，您必须拥有从它到受信任的根证书的完整路径。

通常这是由服务器向客户端提供所有必要的证书来完成的。然而，一些网络服务器不这样做，而是只提供自己的证书。

您似乎遇到过这样配置错误的服务器。尝试将中间证书导入本地信任库，以便客户端能够构建从服务器证书到受信任根的完整链。还要记住 -trustcacerts 选项。