从 SSLHandshakeException 到成功调用：RestTemplate 攻克自签 HTTPS 全记录

Spring Boot 使用 RestTemplate 连接自签名 HTTPS 接口的完整指南

在实际开发中，我们经常需要通过 RestTemplate 调用第三方 HTTPS 接口。然而，当目标服务使用的是自签名证书 （Self-signed Certificate）时，Java 默认的 SSL 信任机制会拒绝连接，导致抛出类似 javax.net.ssl.SSLHandshakeException 的异常。

本文将详细介绍如何在 Spring Boot 项目中配置 RestTemplate，使其能够安全地调用使用自签名证书的 HTTPS 接口。

🔒 问题背景

当你尝试使用默认的 RestTemplate 调用一个使用自签名证书的 HTTPS 地址时，可能会遇到如下错误：

bash 复制代码

javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: 
sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

这是因为 Java 的信任库（cacerts）中没有包含该自签名证书，JVM 无法验证服务器身份。

✅ 解决方案：自定义 TrustManager

我们需要创建一个忽略证书校验的 SSLContext，并将其注入到 RestTemplate 的底层 HTTP 客户端中。以下是具体实现步骤。

第一步：添加依赖（以 Apache HttpClient 为例）

推荐使用 Apache HttpClient 作为底层客户端，它比 JDK 原生连接更灵活。

xml 复制代码

<!-- pom.xml -->
<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient</artifactId>
</dependency>

第二步：创建支持自签名证书的 RestTemplate Bean

java 复制代码

import org.apache.http.conn.ssl.NoopHostnameVerifier;
import org.apache.http.conn.ssl.SSLConnectionSocketFactory;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.client.HttpComponentsClientHttpRequestFactory;
import org.springframework.web.client.RestTemplate;

import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManager;
import javax.net.ssl.X509TrustManager;
import java.security.KeyManagementException;
import java.security.NoSuchAlgorithmException;
import java.security.cert.X509Certificate;

@Configuration
public class RestTemplateConfig {

    @Bean("sslRestTemPlate")
    public RestTemplate restTemplate() throws KeyManagementException, NoSuchAlgorithmException {
        // 创建一个信任所有证书的 TrustManager
        TrustManager[] trustAllCerts = new TrustManager[]{
            new X509TrustManager() {
                @Override
                public void checkClientTrusted(X509Certificate[] chain, String authType) {
                    // 不做任何校验
                }

                @Override
                public void checkServerTrusted(X509Certificate[] chain, String authType) {
                    // 不做任何校验
                }

                @Override
                public X509Certificate[] getAcceptedIssuers() {
                    return new X509Certificate[]{};
                }
            }
        };

        // 初始化 SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, trustAllCerts, new java.security.SecureRandom());

        // 创建 SSL 连接工厂，禁用主机名验证
        SSLConnectionSocketFactory socketFactory = new SSLConnectionSocketFactory(
            sslContext,
            NoopHostnameVerifier.INSTANCE // 忽略主机名验证
        );

        // 创建 HttpClient
        CloseableHttpClient httpClient = HttpClients.custom()
            .setSSLSocketFactory(socketFactory)
            .build();

        // 创建请求工厂
        HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory();
        factory.setHttpClient(httpClient);

        return new RestTemplate(factory);
    }
}

第三步：在请求接口的时候调用即可

java 复制代码

@Service
public class ApiService {

    @Autowired
    @Qualifier("sslRestTemPlate")
    private RestTemplate restTemplate;

    public String callSecureApi() {
        String url = "https://your-self-signed-host:8443/api/data";
        return restTemplate.getForObject(url, String.class);
    }
}

⚠️ 安全提醒

上述方法会信任所有证书 ，存在中间人攻击（MITM）风险，仅建议用于测试环境或完全可控的内部服务。

在生产环境中，更安全的做法是：

将自签名证书导入 JVM 的 cacerts 信任库；
或者，在代码中只信任特定的证书（通过证书指纹或 CA 校验）。

如何将证书导入 JVM 信任库？

bash 复制代码

# 导出证书（假设服务地址为 https://api.example.com:8443）
echo | openssl s_client -connect api.example.com:8443 2>/dev/null | openssl x509 > selfsigned.crt

# 导入证书到 JVM cacerts
keytool -import -alias myservice -keystore $JAVA_HOME/jre/lib/security/cacerts -file selfsigned.crt
# 默认密码：changeit

🧪 测试调用

配置完成后，你可以像平常一样使用 RestTemplate：

java 复制代码

@Service
public class ApiService {

    @Autowired
    private RestTemplate restTemplate;

    public String callSecureApi() {
        String url = "https://your-self-signed-host:8443/api/data";
        return restTemplate.getForObject(url, String.class);
    }
}

✅ 总结

方法	安全性	适用场景
忽略证书校验	❌ 低	开发/测试环境
导入证书到信任库	✅ 高	生产环境
代码中校验特定证书	✅ 高	生产环境（精细化控制）

博主建议：在开发阶段可以使用"忽略证书"方式快速联调，但上线前务必切换为基于可信证书的方案，保障系统通信安全。

📌 关注我，明天会介绍如果在生产级docker下解决这个问题