Java程序报 javax.net.ssl.SSLHandshakeException 怎么快速定位证书问题
绝大多数 SSL 握手失败不是代码写错了，而是 JVM 信任库没加载对证书。先别急着改代码，用 keytool 查当前信任库里有没有目标服务的 CA 或自签名证书。
- 运行
keytool -list -v -keystore $JAVA_HOME/jre/lib/security/cacerts（JDK 8/11 默认路径），看输出里是否含目标域名或 CA 名称 - 如果服务用的是私有 CA 或自签名证书，
cacerts里肯定没有，必须手动导入——否则无论HttpsURLConnection还是RestTemplate都会炸 - 注意 JDK 版本差异：JDK 17+ 默认禁用 TLS 1.0/1.1，若服务只支持旧协议，会直接抛
SSLHandshakeException: No appropriate protocol，不是证书问题
把自签名证书加进 JVM 信任库的实操步骤
别用浏览器导出的 PEM 文件直接丢进去，keytool 只认 DER 或 PKCS#7 格式，常见坑就卡在这一步。
- 如果拿到的是
server.crt（PEM 格式），先转成 DER：openssl x509 -in server.crt -outform der -out server.der - 再导入：
keytool -importcert -file server.der -alias my-server -keystore $JAVA_HOME/jre/lib/security/cacerts，密码默认changeit - 导入后务必加
-v参数验证：keytool -list -v -keystore $JAVA_HOME/jre/lib/security/cacerts | grep -A 1 "my-server" - 重启 Java 进程——JVM 启动时就读一次
cacerts，运行中改了也不生效
代码里绕过证书校验（仅限测试）的危险写法和替代方案
网上一堆“几行代码禁用 SSL 验证”的示例，实际一上线就是生产事故。真要临时调试，请用系统级开关，别污染业务代码。
- 绝对不要在代码里写
TrustManager空实现或HostnameVerifier返回true，CI/CD 流水线可能漏检，上线即高危 - 测试环境可启动时加参数：
-Djavax.net.ssl.trustStore=/dev/null -Djavax.net.ssl.trustStorePassword=，但仅限本地调试 - 更稳妥的做法：用
-Djavax.net.debug=ssl:handshake打印完整握手日志，比盲目跳过验证更能定位问题根源 - Spring Boot 用户注意：
server.ssl.trust-store是给服务器端用的，客户端调用外部 HTTPS 接口时不起作用
使用 OkHttp 或 Apache HttpClient 时证书配置的差异点
这些库不走 JVM 默认信任库，得自己配 SSLSocketFactory 或 SSLContext，否则你往 cacerts 里加了证书也没用。
立即学习“Java免费学习笔记（深入）”；
- OkHttp：必须显式构建
OkHttpClient.Builder().sslSocketFactory(socketFactory, trustManager)，且trustManager要从你自己的KeyStore初始化 - Apache HttpClient：用
SSLConnectionSocketFactory，构造时传入自定义SSLContext，别依赖SSLConnectionSocketFactory.getSocketFactory()的默认实例 - Spring RestTemplate：底层若用
HttpComponentsClientHttpRequestFactory，它会自动桥接 Apache HttpClient 的配置；但若用SimpleClientHttpRequestFactory（默认），就还是走 JVM 原生 SSL - 所有自定义
SSLContext必须调用init()，漏掉这步会导致连接直接抛NullPointerException
证书链不完整、中间 CA 缺失、主机名不匹配、JVM 版本协议限制——这些问题的表现都是同一个异常，但根因天差地别。盯着错误栈第一行没用，得看 Caused by: 后面那条，再结合 javax.net.debug 日志里的 CertificateRequest 和 ServerHello 内容才抓得住真凶。
