本文介绍如何通过配置 JVM 信任库解决 Maven 构建时因私有 Artifactory 证书导致的 PKIX path building failed SSL 验证错误，强调必须使用本地 Java 密钥库（JKS）而非直接传入证书 URL。
本文介绍如何通过配置 jvm 信任库解决 maven 构建时因私有 artifactory 证书导致的 `pkix path building failed` ssl 验证错误，强调必须使用本地 java 密钥库（jks）而非直接传入证书 url。
Maven 本身不支持直接通过 URL 加载 SSL 证书（例如 -Djavax.net.ssl.trustStore=https://artifactory.example.com/cert.pem 是无效的）。SSL/TLS 握手由底层 JVM 执行，而 JVM 的 javax.net.ssl.trustStore 系统属性仅接受本地文件路径（如 cacerts 或自定义 JKS 文件），不支持 HTTP/HTTPS 协议地址。
✅ 正确做法是：将 Artifactory 的 PEM 或 DER 格式证书导入到一个 Java KeyStore（JKS）中，并在 Maven 命令中显式指定该 keystore 路径：
# 1. 将证书（如 artifactory.crt）导入到新 keystore（或追加到默认 cacerts） keytool -importcert -alias artifactory -file artifactory.crt -keystore custom-truststore.jks -storepass changeit # 2. 运行 Maven 并指定该 keystore（推荐同时指定 storepass 提高稳定性） mvn clean install \ -Djavax.net.ssl.trustStore=custom-truststore.jks \ -Djavax.net.ssl.trustStorePassword=changeit
⚠️ 注意事项：
- 不要覆盖默认 cacerts：若仅导入私有证书，会导致无法验证公共 HTTPS 站点（如 Maven Central）。建议基于 $JAVA_HOME/jre/lib/security/cacerts 复制一份后导入新证书，保留全部可信 CA；
- 证书格式需兼容：keytool 默认支持 PEM（Base64-encoded）和 DER 格式；若为 .p7b 或 .pfx，需先转换；
-
全局配置更便捷：可将上述 JVM 参数写入 MAVEN_OPTS 环境变量，避免每次命令重复输入：
export MAVEN_OPTS="-Djavax.net.ssl.trustStore=custom-truststore.jks -Djavax.net.ssl.trustStorePassword=changeit"
? 补充说明：Maven 官方指南明确指出，针对私有仓库 SSL 问题，唯一可靠方案是配置 JVM 级信任库（参见 Maven Repository SSL Guide）。所谓“传入证书 URL”属于常见误解——HTTP 下载证书与 TLS 握手验证是两个独立阶段，JVM 不会在运行时动态拉取并加载远程证书。
综上，务必坚持「本地 keystore + keytool 导入 + JVM 属性指定」这一标准流程，兼顾安全性、兼容性与可维护性。
