Java配置SSL证书的核心是正确设置truststore和keystore，支持JKS/PKCS#12格式；PEM需转换；客户端通过JVM参数指定truststore，服务端（如Spring Boot）在配置文件中设置keystore；调试用-Djavax.net.debug=ssl:handshake。
Java环境中配置SSL证书，核心是让JVM信任目标服务器的HTTPS证书，或让Java应用作为服务端时能正确加载自己的私钥和证书链。关键不在代码里硬编码，而在于正确配置信任库（truststore）和密钥库（keystore）。
确认证书类型和格式
Java原生支持JKS（Java KeyStore）和PKCS#12（.p12/.pfx）格式，不直接识别PEM（.crt/.key）或DER。若你拿到的是OpenSSL生成的PEM文件，需先转换：
- 把证书+私钥合并为PKCS#12： openssl pkcs12 -export -in server.crt -inkey server.key -out keystore.p12 -name myalias
- 将CA根证书导入truststore（如使用默认cacerts）： keytool -importcert -file ca.crt -keystore $JAVA_HOME/jre/lib/security/cacerts -alias myca
配置客户端信任远程服务端证书
Java客户端（如HttpURLConnection、OkHttp、RestTemplate）默认使用JRE内置的$JAVA_HOME/jre/lib/security/cacerts作为truststore。若服务端用的是自签名或私有CA签发的证书，必须显式指定信任库：
- 启动JVM时通过系统属性指定： -Djavax.net.ssl.trustStore=/path/to/truststore.jks -Djavax.net.ssl.trustStorePassword=changeit
- 代码中动态设置（不推荐用于生产）： System.setProperty("javax.net.ssl.trustStore", "/path/to/truststore.jks");
配置服务端启用HTTPS（如Spring Boot内嵌Tomcat）
以Spring Boot为例，在application.properties中配置keystore即可，无需改代码：
立即学习“Java免费学习笔记（深入）”；
- server.ssl.key-store=classpath:keystore.p12
- server.ssl.key-store-password=yourpass
- server.ssl.key-store-type=PKCS12
- server.ssl.key-alias=myalias
注意：keystore必须包含私钥+完整证书链（含中间CA），否则浏览器可能提示“证书不可信”。
调试SSL握手问题
遇到PKIX path building failed或unable to find valid certification path，说明信任链断裂。可开启SSL调试定位：
- 加JVM参数：-Djavax.net.debug=ssl:handshake，查看详细握手日志
- 用keytool -list -v -keystore truststore.jks确认CA证书已正确导入
- 用openssl s_client -connect host:443 -showcerts检查服务端实际返回的证书链是否完整
