需将内网CA根证书导入Java信任库以解决SSLHandshakeException；自签名证书直接导入，私有CA签发证书则导入其根证书；推荐应用级独立truststore并用keytool配置。
在内网环境中使用 Apache 部署 HTTPS 时，自签名或私有 CA 签发的证书默认不被客户端（浏览器、Java 应用等）信任，需手动配置信任链。Java 程序尤其容易因证书不受信而抛出 SSLHandshakeException 或 PKIX path building failed 错误。核心在于让 Java 的信任库（truststore）识别并信任你的内网证书。
明确证书类型与分发目标
内网 HTTPS 常见两类证书：
- 自签名证书：Apache 自己生成，无上级 CA，需将该证书直接导入 Java truststore；
- 私有 CA 签发证书：由内网自建 CA（如 OpenSSL、EasyRSA、cfssl）签发，此时应将 CA 根证书（而非终端证书）导入 truststore，才能信任所有由其签发的站点证书。
注意：不要把 Apache 的 server.crt（终端证书）和 server.key（私钥）分发给 Java 客户端——私钥必须严格保密，仅服务端持有。
将根证书导入 Java truststore
Java 默认使用 $JAVA_HOME/jre/lib/security/cacerts（JDK 8/11）或 $JAVA_HOME/lib/security/cacerts（JDK 17+）作为系统级 truststore。推荐做法是：
立即学习“Java免费学习笔记（深入）”；
- 导出内网 CA 的根证书为 PEM 格式（如
ca-root.crt）； - 使用
keytool导入（需指定别名，避免冲突）：keytool -importcert -alias my-intranet-ca -file ca-root.crt -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit - 执行后会提示是否信任，输入
yes； - 验证是否成功：
keytool -list -v -keystore $JAVA_HOME/lib/security/cacerts | grep "my-intranet-ca"
应用级信任配置（更安全可控）
修改全局 cacerts 影响所有 Java 应用，生产中建议按应用隔离信任：
- 创建专属 truststore：
keytool -importcert -alias my-intranet-ca -file ca-root.crt -keystore my-truststore.jks -storepass mypass123 - 启动 Java 应用时指定：
java -Djavax.net.ssl.trustStore=/path/to/my-truststore.jks -Djavax.net.ssl.trustStorePassword=mypass123 MyApp - 也可在代码中动态设置（适合测试或临时场景）：
System.setProperty("javax.net.ssl.trustStore", "/path/to/my-truststore.jks");<br>System.setProperty("javax.net.ssl.trustStorePassword", "mypass123");
验证与排错要点
常见问题及检查项：
- 证书是否为 PEM 格式？
keytool只接受 Base64 编码的 PEM（以-----BEGIN CERTIFICATE-----开头），若为 DER 或二进制格式需先转换：openssl x509 -in ca-root.der -inform DER -out ca-root.crt -outform PEM - Java 进程是否加载了正确的 truststore？可通过
jps+jinfo -sysprops <pid>查看实际生效的系统属性； - 证书有效期是否过期？用
openssl x509 -in ca-root.crt -text -noout检查Validity区段； - 若用 HttpClient，确认未绕过 SSL 验证（如
TrustAllStrategy）——这仅用于调试，切勿上线。
