“pkix path building failed”本质是jvm truststore未信任服务端ca证书，需用keytool将根证书导入$java_home/jre/lib/security/cacerts；注意区分truststore（验对方）与keystore（证自己），双向认证须同时配置二者；spring boot出站请求不继承server.ssl配置，需显式设置truststore或httpclient；jdk 8u181+和17+有算法限制，旧sha-1证书需重签。
Java应用启动时提示“PKIX path building failed”
这是最常见的SSL证书问题，本质是JVM不认识你服务端用的CA证书。不是代码写错了，而是javax.net.ssl.trustStore里没导入对应CA证书。
实操建议：
立即学习“Java免费学习笔记（深入）”；
- 先确认报错中提到的域名和端口，用
openssl s_client -connect example.com:443 -showcerts抓取服务端实际返回的证书链 - 把根证书（通常是链底那个
-----BEGIN CERTIFICATE-----段）单独保存为root.crt - 用
keytool -import -trustcacerts -alias example-root -file root.crt -keystore $JAVA_HOME/jre/lib/security/cacerts导入——注意必须用JDK自带的cacerts，别自己新建一个然后只配javax.net.ssl.trustStore - 默认密码是
changeit，输错会静默失败，不报错但也不生效
KeyStore文件导入后仍无法建立HTTPS连接
常见于客户端需双向认证（mTLS）场景，或自签名服务端证书未被信任。关键在区分trustStore（存CA公钥，用于验证对方）和keyStore（存自己私钥+证书，用于向对方证明自己）。
实操建议：
立即学习“Java免费学习笔记（深入）”；
- 检查启动参数：双向认证必须同时设置
-Djavax.net.ssl.keyStore和-Djavax.net.ssl.trustStore，漏一个就失败 -
keyStore路径必须是绝对路径，相对路径在IDE里可能工作，但打包成jar后大概率FileNotFoundException - 如果证书是PFX/P12格式，导入时加
-storetype PKCS12，否则keytool默认按JKS解析，报Invalid keystore format - 用
keytool -list -v -keystore my.p12 -storetype PKCS12确认别名（alias），代码里KeyManagerFactory.init()要用对
Spring Boot应用配置SSL后HttpClient调用失败
Spring Boot内嵌Tomcat或Jetty的SSL配置，只影响入站HTTPS服务；出站HTTP Client（如RestTemplate、WebClient）默认仍走JVM全局trustStore，不自动继承server.ssl.*配置。
实操建议：
立即学习“Java免费学习笔记（深入）”；
- 不要指望
server.ssl.key-store能解决出站请求的证书问题——那是给别人连你用的 - 出站调用需显式配置
RestTemplate的HttpClient，例如用SSLConnectionSocketFactory加载自定义trustStore - 更简单的方式：统一用系统变量，启动时加
-Djavax.net.ssl.trustStore=/path/to/truststore.jks -Djavax.net.ssl.trustStorePassword=pass123，所有HTTP Client都会生效 - 注意：Spring Boot 3.x默认用Lettuce/Netty，部分HTTP Client（如OkHttp）不读JVM系统变量，得单独配
不同JDK版本下KeyStore行为差异
JDK 8u181之后默认启用jdk.tls.disabledAlgorithms策略，禁用SHA-1签名、MD5等老算法；JDK 17+进一步收紧，部分旧证书即使导入也会被跳过验证。
实操建议：
立即学习“Java免费学习笔记（深入）”；
- 用
keytool -printcert -file server.crt看证书签名算法，如果是SHA1withRSA，JDK 11+基本无法绕过 - 临时调试可加JVM参数
-Djdk.tls.disabledAlgorithms=清空禁用列表（仅限测试环境） - 生产环境必须换证书：让CA用
SHA256withRSA或更高重新签发，别试图改JVM安全策略 - JDK 17+不再默认包含
sun.security.provider.JavaKeyStore以外的Provider，自定义Provider需显式Security.addProvider()
最常被忽略的是：JVM启动参数里的javax.net.ssl.*变量，只在JVM初始化时读一次，运行中修改System.setProperty()完全无效。改完一定重启应用，别在IDE里点“reload”就以为生效了。
