本文档旨在指导开发者如何将SSL证书成功添加到Java 17的JVM信任库中，解决常见的PKIX path building failed错误。通过本文，您将学习如何使用keytool命令导入证书，并了解Java 17中信任库的正确位置，确保您的Java应用程序能够安全地进行SSL/TLS通信。
导入SSL证书到Java 17信任库
当Java应用程序尝试建立SSL/TLS连接，但服务器的证书不受信任时，会抛出javax.net.ssl.SSLHandshakeException: PKIX path building failed异常。这通常意味着JVM的信任库中缺少服务器证书或其颁发机构的证书。
解决此问题的关键是将证书导入到JVM的信任库中。以下步骤展示了如何使用keytool命令来完成此操作：
-
定位Java 17的信任库
立即学习“Java免费学习笔记（深入）”；
与早期的Java版本不同，Java 17的信任库位于$JAVA_HOME/lib/security/cacerts，而不是$JAVA_HOME/conf/security/cacerts。请确保JAVA_HOME 环境变量指向正确的Java 17安装目录。
-
使用keytool导入证书
使用以下命令将SSL证书导入到信任库：
keytool -importcert -alias <your_alias> -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit -file <certificate_file.crt>
- <your_alias>: 为证书指定一个唯一的别名，例如 my_ssl_cert。
- $JAVA_HOME/lib/security/cacerts: Java 17信任库的完整路径。
- changeit: 默认的信任库密码。 强烈建议更改此默认密码！
- <certificate_file.crt>: SSL证书文件的路径。
示例:
假设您的证书文件名为 ca.crt，您想使用别名 startssl，则命令如下：
keytool -importcert -alias startssl -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit -file ca.crt
-
验证证书是否成功导入
您可以使用以下命令列出信任库中的所有证书，并验证您的证书是否已成功添加：
keytool -list -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit -alias <your_alias>
如果证书已成功导入，您将看到有关该证书的详细信息。
注意事项
- 默认密码： changeit 是默认的信任库密码。出于安全考虑，强烈建议您更改此密码。可以使用 keytool -storepasswd 命令更改密码。
- 证书格式： 确保您的证书文件是正确的格式（例如，.crt 或 .cer）。
- 权限问题： 在某些情况下，您可能需要使用管理员权限运行 keytool 命令，才能修改信任库。
- 重启应用程序： 在导入证书后，您可能需要重启Java应用程序，才能使更改生效。
- 多个JVM： 如果您在同一系统上安装了多个Java版本，请确保您将证书导入到应用程序正在使用的Java版本的信任库中。
总结
通过遵循这些步骤，您可以成功地将SSL证书添加到Java 17的JVM信任库中，从而解决PKIX path building failed错误，并确保您的Java应用程序能够安全地进行SSL/TLS通信。 重要的是要验证证书是否已成功导入，并采取必要的安全措施，例如更改默认的信任库密码。
