Java HTTPS连接证书过期时抛出CertificateExpiredException而非SSLCertificateExpiredException，应捕获该异常或检查日志关键词；定位可用openssl、SSL调试日志或浏览器；生产环境须更新证书并监控，禁用校验仅限测试。
Java 应用在建立 HTTPS 连接时，若服务端使用的 TLS/SSL 证书已过期，JVM 默认会拒绝连接，并抛出 javax.net.ssl.SSLHandshakeException（或其子类如 sun.security.validator.ValidatorException），**并不会直接抛出名为 SSLCertificateExpiredException 的异常**——这个类在标准 Java SDK 中并不存在。
实际抛出的异常类型
当证书过期时，常见异常链如下：
-
javax.net.ssl.SSLHandshakeException：握手失败的顶层异常 - 其 cause 通常是：
sun.security.validator.ValidatorException: PKIX path validation failed - 再深层 cause 可能是：
java.security.cert.CertificateExpiredException（这才是真正表示证书过期的 JDK 内置异常）
因此，捕获逻辑应关注 CertificateExpiredException 或检查异常消息中是否包含 "expired"、"notValidAfter" 等关键词，而非寻找不存在的 SSLCertificateExpiredException。
如何定位和验证证书过期问题
可通过以下方式快速确认：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
立即学习“Java免费学习笔记（深入）”；
- 用
openssl命令查看证书有效期：echo | openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -noout -dates - 在 Java 中启用 SSL 调试日志，启动时加 JVM 参数：
-Djavax.net.debug=ssl:handshake，日志中会明确提示certificate expired - 用浏览器访问目标地址，检查地址栏锁图标 → 点击证书 → 查看“有效期至”
临时绕过（仅限测试，严禁生产）
开发调试阶段可临时禁用证书校验（不推荐，且 Java 17+ 对部分绕过方式限制更严）：
- 自定义
TrustManager接受所有证书（含过期） - 替换默认
SSLContext，但需注意：这会同时忽略 CA 不可信、域名不匹配等问题 - 示例代码本质是信任所有，切勿用于生产环境
正确处理方式
面向生产环境的合规做法：
- 联系服务提供方更新证书（最根本）
- 若调用的是自有服务，及时轮换证书并设置监控告警（如用 Certbot + cron 或 Prometheus + Blackbox Exporter）
- 应用层做优雅降级：捕获
CertificateExpiredException后记录日志、返回明确错误码，避免崩溃 - 使用
KeyStore和TrustManagerFactory显式加载可信 CA 证书，不依赖系统默认 truststore
证书有效期管理是 TLS 安全链的基础环节，异常本身不是 bug，而是安全机制在正常工作。
