是，distributionUrl 必须为 HTTPS 协议；若使用旧 JDK（如 8u181 前）且缺失 ISRG Root X1 根证书，或 TLS 版本不匹配（如低于 TLSv1.2），会导致 SSL 握手失败而无法下载 Gradle。
看 gradle-wrapper.properties 里的 distributionUrl 是不是 HTTPS 协议
Gradle Wrapper 启动时第一件事就是下载指定版本的 Gradle 发布包，distributionUrl 决定了它从哪下、用什么协议。如果值是 https://services.gradle.org/distributions/gradle-8.7-bin.zip，但你的 JDK 信任库缺 ISRG Root X1 或已过期的 DST Root CA X3，就会卡在 SSL 握手阶段。
常见错误日志里会出现：PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target，这说明证书链校验失败，不是网络不通，也不是 URL 写错。
- 先用
grep distributionUrl gradle/wrapper/gradle-wrapper.properties确认协议和域名 - 如果仍是
http://（极少见于新项目），说明问题不在 SSL，而是服务端已禁用 HTTP，需升级为 HTTPS - 若为 HTTPS，但用的是国内镜像（如阿里云、腾讯云），检查该镜像是否已启用 TLSv1.2+ 且证书链完整——旧版镜像可能仍用已停用的根证书
确认 JDK 的 cacerts 是否包含当前需要的根证书
JDK 自带的 cacerts 是 Gradle 下载依赖时唯一信任的证书库。Windows 上用 Oracle JDK 8u181 之前版本、或未更新的 OpenJDK，大概率缺 Let’s Encrypt 新根证书（ISRG Root X1），而 services.gradle.org 和 libraries.minecraft.net 等现代仓库都依赖它。
验证命令：keytool -list -v -keystore "$JAVA_HOME/lib/security/cacerts" | grep -A1 "ISRG"。没输出就说明缺失。
- 不要直接删掉整个
cacerts—— 这会破坏所有其他 HTTPS 通信的信任基础 - 也不建议用
-Djavax.net.ssl.trustStore=指向一个自建空库来“绕过”，这等于关掉所有 SSL 验证 - 稳妥做法是：用
openssl s_client -connect services.gradle.org:443 -showcerts抓出服务器返回的证书链，再用keytool -importcert导入最顶端的根证书（不是中间证书） - 操作必须用管理员权限执行，否则写不进
cacerts
区分是 Wrapper 下载失败，还是构建过程中依赖下载失败
这两类失败现象相似，但发生阶段和修复路径完全不同：
-
gradle-wrapper.properties中的distributionUrl下载失败 → 错误出现在./gradlew第一次执行时，报错堆栈含Download.downloadInternal或org.gradle.wrapper.Download - 构建时下载 Maven 依赖失败（比如
com.android.tools.build:gradle）→ 错误出现在./gradlew build阶段，堆栈含org.gradle.internal.resource.transport.http.HttpClientHelper或具体仓库域名（如dl.google.com） - Flutter 项目里尤其容易混淆：点击运行按钮触发的是完整构建流程，但 Android Studio 只显示最终异常，不暴露是 Wrapper 还是子模块在拉取失败
- 真要定位，就单独进
android/目录执行./gradlew --debug build，看日志里第一个GET请求失败的是哪个 URL
Gradle 8.7+ 对 TLS 协议版本更敏感，老 JDK 容易握手失败
Gradle 8.7 默认要求 TLSv1.2+，且拒绝使用已标记为不安全的加密套件。如果你用的是 JDK 8u161 或更早版本，即使证书存在，也可能因协议协商失败抛出 SSLException: Received close_notify during handshake 或 handshake_failure。
- 检查 JDK 版本：
$JAVA_HOME/bin/java -version，优先升到 JDK 8u292+、JDK 11.0.15+ 或 JDK 17.0.2+ - 不要只改
gradle/wrapper/gradle-wrapper.properties里的版本号——Wrapper 本身也受限于宿主 JDK 的 TLS 能力 - 临时验证可加 JVM 参数：
./gradlew -Dhttps.protocols=TLSv1.2,TLSv1.3 build，但这是补丁，不是解法 - 企业环境若部署了 Zscaler、Netskope 等 SSL 中间人代理，需额外导入其根证书到
cacerts，否则所有 HTTPS 流量都会被拦截并替换证书
