Spring Boot 的 application.properties/yml 不支持直接配置 Redis SSL 的密钥库和信任库路径及密码，因 RedisProperties 类未映射这些字段，必须通过 Java Config 构造 SslOptions 并注入 LettuceConnectionFactory 才能生效。
Spring Boot 的 application.properties 或 application.yml 无法直接配置 Redis SSL 所需的密钥库（keystore）、信任库（truststore）路径和密码——这些字段被 Spring Boot 完全忽略，只支持 spring.redis.ssl.enabled=true 这个开关。
为什么 spring.redis.ssl.keystore=xxx 配置不生效
Spring Boot 的 RedisProperties 类只映射基础连接参数（host、port、password、ssl.enabled），它不会解析任何 keystore/truststore 相关字段。即使你写上 spring.redis.ssl.keystore 或 spring.redis.ssl.truststore-password，Spring 启动时既不报错也不读取，Lettuce 客户端初始化时仍用默认空 SSL 上下文，导致握手失败。
常见错误现象包括：
javax.net.ssl.SSLHandshakeException: PKIX path building failedjavax.net.ssl.SSLHandshakeException: No name matching xxx found- 连接超时或直接抛出
Cannot connect to redis，但日志里看不到具体 TLS 错误
必须用 Java Config 构造 SslOptions 并注入 LettuceConnectionFactory
这是唯一可靠的方式，适用于 Lettuce（Spring Boot 2.x+ 默认客户端）。关键点：
- 使用
SslOptions.builder()显式加载keystore.jks和truststore.jks文件 -
keystorePassword和truststorePassword必须与文件实际密码一致 -
RedisStandaloneConfiguration中的setPort()应设为 Redis 服务端启用 TLS 的端口（通常是6380，不是默认6379） - 证书文件建议放在
src/main/resources/下，用new File("...")加载；若从 classpath 加载，需改用ClassPathResource+getInputStream()
最小可行示例：
Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。
@Bean
public RedisConnectionFactory redisConnectionFactory() {
RedisStandaloneConfiguration config = new RedisStandaloneConfiguration();
config.setHostName("redis.example.com");
config.setPort(6380);
config.setPassword(RedisPassword.of("redis-pass"));
SslOptions sslOptions = SslOptions.builder()
.keystore(new File("src/main/resources/redis-keystore.jks"))
.keystorePassword("keystore-pass-123")
.truststore(new File("src/main/resources/redis-truststore.jks"))
.truststorePassword("truststore-pass-456")
.build();
LettuceClientConfiguration clientConfig = LettuceClientConfiguration.builder()
.useSsl(sslOptions)
.build();
return new LettuceConnectionFactory(config, clientConfig);
}
要不要关闭证书校验？生产环境别关
有文章提到通过 LettuceClientConfigurationBuilderCustomizer 关闭主机名验证或信任链校验，例如设置 hostnameVerifier((hostname, session) -> true) 或自定义 TrustManager 全部放行。这能绕过证书错误快速连通，但：
- 会暴露中间人攻击风险，等同于裸连 HTTP
- Google Cloud Memorystore、AWS ElastiCache 等托管服务返回的证书域名严格匹配实例地址，关校验反而可能掩盖 DNS 或配置错误
- 本地开发可临时关闭用于调试，但 CI/CD 流水线和生产部署必须保留完整校验
真正该花时间做的，是确保 truststore.jks 包含了 Redis 服务端证书（或其 CA），且 keystore.jks（如需双向 TLS）已正确导出客户端证书并签名可信。
容易被忽略的细节：端口、服务端能力和依赖版本
SSL 连接失败，不全是客户端配置问题：
- 确认 Redis 服务端确实启用了 TLS（开源 Redis 自 6.0 起支持，但需编译时开启 OpenSSL；很多 Docker 镜像默认不带 TLS）
- 检查防火墙或网络策略是否放行了 TLS 端口（如
6380），而非仅开放6379 - Lettuce 6.3+ 才完整支持
SslOptions.builder()的链式调用；低于此版本需用DefaultSslOptions或手动构造SSLContext - 若用 Jedis，必须额外引入
commons-pool2并手动 setSSLSocketFactory，Spring Boot 不提供自动装配支持
最常卡住的地方，其实是以为配对了 ssl.enabled=true 就万事大吉，却没意识到：开关开了，钥匙没给，门还是打不开。
