在使用 IntelliJ IDEA 运行 Java 程序时，可能会遇到 "PKIX path building failed" 错误，这通常是由于 IDE 无法验证 SSL 证书导致的。本文将详细介绍如何解决这个问题，包括从浏览器导出证书，以及将其导入到 JDK 和 IntelliJ IDEA 的 keystore 中，确保 IDE 可以信任相关的服务器。
问题分析
"PKIX path building failed" 错误表明 Java 运行时环境无法找到信任链来验证服务器的 SSL 证书。这通常发生在以下情况：
- 服务器使用了自签名证书或私有 CA 颁发的证书。
- JDK 或 IntelliJ IDEA 的 keystore 中缺少必要的根证书或中间证书。
- 网络配置阻止了对证书颁发机构的访问。
解决方案
解决此问题的关键是将服务器的证书导入到 JDK 和 IntelliJ IDEA 的 keystore 中。以下步骤详细介绍了如何操作：
1. 从浏览器导出证书
首先，需要从浏览器中导出服务器的证书。以访问 https://repo.maven.apache.org/maven2/org/slf4j/slf4j-simple/2.0.7/slf4j-simple-2.0.7.pom 为例：
- 在浏览器中打开该 URL。
- 点击地址栏中的锁形图标，查看连接信息。
- 找到 "Connection is secure" 或类似的选项，然后点击 "Certificate is valid"。
- 在证书详情中，选择证书层次结构中最顶层的证书。
- 点击 "Export" 或类似的按钮，将证书保存到本地磁盘，例如 repo.maven.apache.org.cer。
2. 导入证书到 JDK keystore
接下来，需要将导出的证书导入到 JDK 的 keystore 中。
-
找到 JDK 的安全目录。通常位于 $JAVA_HOME/lib/security。可以通过以下命令查找 JAVA_HOME：
echo $JAVA_HOME
常见的路径包括：
- /Library/Java/JavaVirtualMachines/jdk-11.0.16.1.jdk/Contents/Home/lib/security (macOS)
- C:\Program Files\Java\jdk1.8.0_202\jre\lib\security (Windows)
-
使用 keytool 命令导入证书。cacerts 文件包含了所有受信任的证书。
sudo keytool -importcert -alias maven -file ~/Desktop/repo.maven.apache.org.cer -keystore cacerts
- -importcert: 指定导入证书。
- -alias maven: 为证书指定一个别名，可以自定义。
- -file ~/Desktop/repo.maven.apache.org.cer: 指定证书文件的路径。
- -keystore cacerts: 指定 keystore 文件。
当提示输入 keystore 密码时，默认密码是 changeit。
3. 导入证书到 IntelliJ IDEA keystore
IntelliJ IDEA 使用自己的 JRE，因此还需要将证书导入到 IDE 的 keystore 中。
-
找到 IntelliJ IDEA 的 JRE 安全目录。路径取决于 IntelliJ IDEA 的版本。通常位于 [IntelliJ IDEA 安装目录]/jbr/Contents/Home/lib/security。例如：
- /Applications/IntelliJ IDEA.app/Contents/jbr/Contents/Home/lib/security (macOS)
-
使用 keytool 命令导入证书，与导入 JDK keystore 的步骤相同：
sudo keytool -importcert -alias maven -file ~/Desktop/repo.maven.apache.org.cer -keystore cacerts
同样，当提示输入 keystore 密码时，默认密码是 changeit。
4. 重启 IntelliJ IDEA
完成上述步骤后，重启 IntelliJ IDEA，使更改生效。
注意事项
- 权限问题： 导入证书需要管理员权限，因此需要使用 sudo 命令。
- Keystore 密码： 默认的 keystore 密码是 changeit。如果之前修改过密码，需要使用正确的密码。
- 证书路径： 确保证书文件的路径正确。
- JDK 版本： 如果安装了多个 JDK，确保 IntelliJ IDEA 使用的是正确的 JDK 版本。可以在 IntelliJ IDEA 的设置中配置 JDK。
- 网络代理： 如果使用了网络代理，确保代理配置正确，允许访问证书颁发机构。
- 证书更新： 如果服务器的证书过期或更新，需要重新导出并导入新的证书。
总结
通过将服务器的证书导入到 JDK 和 IntelliJ IDEA 的 keystore 中，可以解决 "PKIX path building failed" 错误，确保 IDE 可以信任相关的服务器。请按照上述步骤操作，并注意相关事项，以确保问题得到有效解决。
