SSLHandshakeException 是 JVM 与 HTTPS 服务器身份确认失败导致的信任链中断异常，常见于自签证书、CA变更、JDK升级或负载均衡未发完整证书链等场景。
SSLHandshakeException 是什么，为什么它总在 HTTPS 调用里突然冒出来
它不是你的代码写错了，而是 JVM 和目标服务器在“确认彼此身份”这一步卡住了。典型表现是 javax.net.ssl.SSLHandshakeException 带着类似 PKIX path building failed 或 unable to find valid certification path to requested target 的提示——本质是信任链断了。
常见触发场景：调用内部 HTTPS 接口、测试环境自签证书、升级 JDK 后原有证书失效、目标网站换了 CA 或证书过期。
- 不是所有 HTTPS 请求都失败，只影响首次建立连接或证书缓存失效时
- JDK 8u101+ 默认禁用弱算法（如 SHA-1 签名、SSLv3），老服务若没升级可能直接握手失败
- Spring Boot 2.6+ 默认启用
ssl.trust-store校验，哪怕你没显式配，也会走系统默认 truststore（$JAVA_HOME/jre/lib/security/cacerts）
如何快速定位是证书问题还是配置问题
别急着改代码，先用命令行确认问题出在哪一层：
- 用
openssl s_client -connect example.com:443 -servername example.com看是否能拿到完整证书链；如果连不上或提示Verify return code: 21 (unable to verify the first certificate)，基本确定是服务端证书不被信任 - 用
keytool -list -v -keystore $JAVA_HOME/jre/lib/security/cacerts | grep -A1 "example.com"查默认 truststore 里有没有该域名对应 CA - 在 Java 启动参数加
-Djavax.net.debug=ssl:handshake，日志里会明确打出哪张证书校验失败、用的是哪个 truststore 路径
注意：https:// 开头的 URL 被 HttpClient 或 OkHttp 封装后，异常堆栈常被吞掉一层，原始 SSLHandshakeException 可能藏在 Caused by: 后面，得往最底下翻。
立即学习“Java免费学习笔记（深入）”；
临时绕过验证（仅限开发/测试）
生产环境绝对不要用，但排查阶段能帮你快速判断是不是纯证书问题：
- OkHttp：构造
OkHttpClient时传入自定义SSLSocketFactory，配合一个始终返回true的X509TrustManager - Apache HttpClient：用
SSLContextBuilder.create().loadTrustMaterial(null, (chain, authType) -> true).build()替换默认 context - Java 自带
HttpsURLConnection：设置HttpsURLConnection.setDefaultSSLSocketFactory(...)和setDefaultHostnameVerifier(...)
风险提示：TrustAllX509TrustManager 这类写法在 JDK 11+ 上可能触发 IllegalAccessError，因为 sun.misc.BASE64Encoder 等内部类被模块化限制；更稳妥的是用 TrustManagerFactory + 空 keystore 初始化。
真正解决问题：把证书加进信任库
这才是上线前必须做的。核心就两步：导出目标站点证书，导入到 Java truststore：
- 导出：用浏览器打开目标地址 → 点锁图标 → 导出为
PEM或CER格式（推荐Base64-encoded ASCII） - 导入：
keytool -importcert -file example.com.cer -alias example.com -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit - 如果应用指定了独立 truststore（如 Spring Boot 的
server.ssl.trust-store），记得同步更新那个文件，而不是默认 cacerts
容易漏的一点：某些负载均衡器（如 Nginx）默认不发完整证书链，只发站点证书。此时要用 openssl s_client -showcerts 把中间 CA 也拷出来，拼成一个 bundle 文件再导入，否则仍会报 path building failed。
