Netty中配置自签名证书需用SelfSignedCertificate指定域名（如"localhost"）以满足SAN校验，客户端禁用默认信任管理器（测试用InsecureTrustManagerFactory），服务端正确创建SslHandler并确保其位于pipeline首位，同时注意证书与私钥分文件且私钥不加密。
Netty里SslHandler怎么配自签名证书才不报javax.net.ssl.SSLHandshakeException
直接原因是证书链不被信任，SslHandler默认用JDK的TrustManager校验服务端证书，而自签名证书不在JVM信任库中。别急着改JVM参数，先让Netty自己管信任逻辑更可控。
- 服务端必须调用
sslCtx.newHandler(ch.alloc())生成SslHandler，不能复用同一个实例（线程不安全） - 客户端要显式禁用默认信任管理：用
SelfSignedCertificate生成证书后，构造SslContext时传入InsecureTrustManagerFactory.INSTANCE（仅测试用） - 生产环境绝不能用
InsecureTrustManagerFactory，得换成加载CA证书的trustManager(new File("ca.crt")) - 证书生成命令别用
openssl req -x509直接输出PEM——Netty的PemReader要求私钥和证书分两个文件，且私钥不能加密（即不能带DEK-Info头）
SelfSignedCertificate生成的证书为啥客户端连不上，提示No subject alternative names present
Java 7u95+ 和 Android 7.0+ 默认校验Subject Alternative Name (SAN)，而Netty的SelfSignedCertificate默认不写SAN字段，导致握手失败。
- 必须手动指定域名：用
new SelfSignedCertificate("localhost")，而不是无参构造 - 如果测试用IP直连（如
127.0.0.1），得写new SelfSignedCertificate("127.0.0.1")，否则证书里的CN不匹配 - 浏览器访问
https://localhost:8443时，若证书SAN里没DNS:localhost，会直接拦截；Chrome控制台报错ERR_CERT_COMMON_NAME_INVALID - 验证证书内容：用
openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"
为什么SslHandler加在pipeline最前面还是收不到加密后的数据
SslHandler必须是pipeline中第一个入站处理器，但它本身不阻塞或丢弃数据——问题往往出在它还没完成SSL握手，后续handler就误读了未解密的字节流。
- 务必在
SslHandler后加ByteToMessageDecoder类解码器（如LengthFieldBasedFrameDecoder），不能把StringDecoder之类放它前面 - 检查
SslHandler.handshakeFuture().sync()是否被调用：服务端通常不用等，但客户端建立连接后建议handshakeFuture().await(10, TimeUnit.SECONDS)确保握手完成 - 抓包确认：用Wireshark看TLS层是否正常交换
ClientHello/ServerHello，如果卡在ClientHello没响应，大概率是服务端SslContext初始化失败（比如证书路径错、密码错） - 日志开到DEBUG级：设置
io.netty.handler.ssl为DEBUG，能看到具体在哪步失败（如failed to initialize the default SSL context）
Netty 4.1.x升级到4.2+后SslContext.build()报NoSuchMethodError
4.2开始废弃SslContextBuilder.forServer(...)的证书路径重载方法，改用keyManager(File keyCertChainFile, File keyFile)，老代码直接崩。
- 旧写法
SslContextBuilder.forServer(certFile, keyFile)在4.2+已删，必须拆成两个File参数 - 如果证书和私钥在同一个PKCS#12文件（.p12/.pfx），得用
keyManager(File keyStoreFile, String keyStorePassword, String keyPassword) - 注意
keyFile必须是纯RSA/EC私钥（BEGIN RSA PRIVATE KEY），不能是PKCS#8格式（BEGIN PRIVATE KEY）——后者需用openssl pkcs8 -topk8 -nocrypt -in key.pem -out key-pkcs8.pem转换 - Android上记得排除
netty-tcnative，用纯Java SSL提供者，否则java.lang.UnsatisfiedLinkError会掩盖真实错误
证书路径拼错、SAN字段漏写、SslHandler位置不对——这三个点占了调试SSL通信问题的八成。剩下两成，基本是JDK版本和OpenSSL版本对不上，比如JDK 11默认禁用TLS 1.0，而旧设备只支持到1.0。
