Maven 构建时因私有 Artifactory 使用自签名或内部 CA 证书而报 PKIX path building failed 错误，需通过配置信任库（truststore）解决；但 Maven 不支持直接传入证书 URL，必须将证书导入本地 Java keystore 后指定路径。
maven 构建时因私有 artifactory 使用自签名或内部 ca 证书而报 `pkix path building failed` 错误，需通过配置信任库（truststore）解决；但 maven 不支持直接传入证书 url，必须将证书导入本地 java keystore 后指定路径。
Maven 本身不提供通过 URL 动态加载 SSL 证书的功能——无论是 mvn install 还是其他生命周期命令，其 SSL 信任机制完全依赖 JVM 的标准 JSSE（Java Secure Socket Extension），而 JSSE 只接受本地文件路径形式的 javax.net.ssl.trustStore（即 JKS 或 PKCS#12 格式的密钥库），无法解析或下载远程证书 URL。
✅ 正确做法是：
-
获取 Artifactory 服务器证书（如通过浏览器导出 .crt 文件，或使用 openssl 命令）：
Java Maven Common下载Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。
echo | openssl s_client -connect your-artifactory.example.com:443 2>/dev/null | openssl x509 -outform PEM > artifactory.crt
-
将证书导入本地 truststore（推荐基于 JDK 默认 cacerts 复制一份，避免丢失公共 CA 信任）：
# 复制默认 truststore（确保兼容 Maven 访问中央仓库等其他 HTTPS 地址） cp $JAVA_HOME/jre/lib/security/cacerts artifactory-truststore.jks
导入证书（别名建议唯一，如 artifactory-internal）
keytool -importcert -file artifactory.crt \ -keystore artifactory-truststore.jks \ -alias artifactory-internal \ -storepass changeit -noprompt
3. **在 Maven 命令中显式指定该 truststore**： ```bash mvn clean install \ -Djavax.net.ssl.trustStore=artifactory-truststore.jks \ -Djavax.net.ssl.trustStorePassword=changeit
⚠️ 注意事项：
- -Djavax.net.ssl.trustStore 必须指向绝对路径或相对于当前工作目录的有效文件路径，URL（如 https://.../cert.crt）会被 JVM 忽略并静默回退到默认 truststore，导致错误重现；
- 若项目由 CI/CD（如 Jenkins、GitLab CI）执行，请确保 artifactory-truststore.jks 文件已安全分发至构建节点，并避免硬编码密码——可结合 MAVEN_OPTS 或 CI 环境变量注入；
- Maven 官方指南明确推荐此方式：Repository SSL Guide，强调“Use a custom truststore that includes both the internal CA and standard CAs”。
? 进阶建议：对于团队协作场景，可将 artifactory-truststore.jks 纳入项目仓库（注意脱敏密码），并在 pom.xml 中通过 <properties> 或 maven-enforcer-plugin 提示缺失配置；也可使用 maven-surefire-plugin 的 argLine 统一传递 JVM 参数，保障测试阶段 SSL 通信一致。
