本文针对 JDK 1.8.0_371（8u361 + 版本） 对接老旧第三方接口、数据库时出现的 （No appropriate protocol (protocol is disabled or cipher suites are inappropriate) SSL 握手异常，完整记录踩坑过程、报错根因、无效方案排查、最终永久解决方案，可直接用于生产环境。
标签 ：JDK8u371 SSL异常 TLS协议禁用 java.security No appropriate protocol
JDK8u371 解决 No appropriate protocol 踩坑全记录
一、问题现象
项目使用 JDK 1.8.0_371 运行 SpringBoot 可执行 JAR 包，对接老旧第三方系统 / 数据库时，抛出 SSL/TLS 致命异常：
java 运行
No appropriate protocol (protocol is disabled or cipher suites are inappropriate)尝试多种 JVM 启动参数调整后，问题始终无法解决，最终定位为 JDK 版本安全加固导致的底层限制。
二、报错核心根因
Oracle 在 JDK 8u361 及以上版本（含 8u371） 强制收紧了安全策略：
- 默认禁用老旧不安全协议：
TLSv1、TLSv1.1 - 批量禁用大量老旧加密套件（Cipher Suites）
- 禁用 SHA1、MD5 弱证书算法
而对接的老旧服务仅支持旧协议、旧加密套件，Java 客户端握手时无匹配协议，直接抛出异常。
关键坑点：命令行 JVM 参数优先级低于
java.security全局安全配置，仅加启动参数无法彻底解决。
三、无效方案排查（避坑）
❌ 方案 1：添加 TLS 协议启动参数
bash 运行
java -Djdk.tls.client.protocols=TLSv1.2,TLSv1.3 -jar djpm-offer.jar无效原因：JDK同时禁用了加密套件，仅开启协议无法完成握手。
❌ 方案 2：命令行清空禁用算法
bash 运行
java -Djdk.tls.disabledAlgorithms= -jar djpm-offer.jar无效原因 ：配置文件优先级更高，参数被底层安全配置覆盖。
四、最终永久解决方案（生产可用）
方式 ：手动修改配置文件
文件路径：需要找到自己的安装目录
/java/jdk1.8.0_371/jre/lib/security/java.security1. 放开 TLS 协议与加密套件
找到：jdk.tls.disabledAlgorithms
jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1, RC4, DES, MD5withRSA, \
DH keySize < 1024, EC keySize < 224, 3DES_EDE_CBC, anon, NULL, \
include jdk.disabled.namedCurves修改为（仅禁用最危险的 SSLv3，兼顾安全与兼容）：
jdk.tls.disabledAlgorithms=SSLv32. 放开旧证书算法校验
找到：jdk.certpath.disabledAlgorithms
jdk.certpath.disabledAlgorithms=MD2, MD5, SHA1 jdkCA & usage TLSServer, \
RSA keySize < 1024, DSA keySize < 1024, EC keySize < 224, \
include jdk.disabled.namedCurves, \
SHA1 usage SignedJAR & denyAfter 2019-01-01修改为：
jdk.certpath.disabledAlgorithms=3. 纯净启动命令（不要带任何 TLS 相关参数）
bash
java -Xms2048m -Xmx4096m -jar offer.jar五、安全性说明
- 仅放开 SSL/TLS 老旧协议、加密套件、证书算法，不破坏 JDK 核心功能；
- 保留禁用
SSLv3，避免高危漏洞； - 仅作用于当前 JDK，不影响服务器其他服务；
- 可通过备份文件一键还原默认安全策略。
六、总结
- JDK8u361+ 是重灾区，安全加固导致大量老旧系统对接失败；
- 启动参数治标不治本，必须修改
java.security底层配置； - 配置永久生效，重启服务 / 服务器无需重复操作。