我有一个Java客户端试图使用自签名证书访问服务器。
当我试图发布到服务器，我得到以下错误:
无法找到请求目标的有效认证路径
在对这个问题做了一些研究之后，我做了以下工作。
保存我的服务器域名为根。cer文件。 在我的Glassfish服务器的JRE中，我运行了这个: Keytool -import -alias example -keystore cacerts -file root.cer 为了检查证书是否成功添加到我的cacert，我这样做: Keytool -list -v -keystore cacerts 我可以看到证书是存在的。 然后我重新启动Glassfish并重新尝试“post”。
我还是得到同样的错误。
我有一种感觉，这是因为我的Glassfish实际上没有读取我修改过的cacert文件，但可能是其他一些文件。
你们中有人遇到过这样的问题吗，可以帮我找到正确的方向吗?
当前回答
这就是我所做的。
我想在Java 10上开发应用程序，我有Eclipse IDE 2020-06。 证书导入解决方案对我不起作用。 因此，我安装了Java 11 JDK，切换到最新的Eclipse IDE(在Java 11上运行)，并通过在Maven POM下添加以下语句来确保源代码仍然可以根据Java 10编译:
<maven.compiler.target>1.10</maven.compiler.target>
<maven.compiler.source>1.10</maven.compiler.source>
<maven.compiler.release>10</maven.compiler.release>
它就像一个魔法;没有错误。
其他回答
检查$JAVA_HOME/lib/security/cacerts文件是否存在! 在我的情况下，它不是一个文件，而是一个到/etc/ssl/certs/java/cacerts的链接，而且这是一个到自身的链接(什么??)，因此JVM无法找到该文件。
解决方案: 复制真正的cacerts文件(你可以从另一个JDK)到/etc/ssl/certs/java/目录，它将解决你的问题:)
JDK 8迁移到JDK 10时的解决方案
证书是非常不同的 JDK 10有80个，而JDK 8有151个 JDK 10最近添加了certs https://dzone.com/articles/openjdk-10-now-includes-root-ca-certificates http://openjdk.java.net/jeps/319
JDK 10
root@c339504909345:/opt/jdk-minimal/jre/lib/security # keytool -cacerts -list
Enter keystore password:
Keystore type: JKS
Keystore provider: SUN
Your keystore contains 80 entries
JDK 8
root@c39596768075:/usr/lib/jvm/java-8-openjdk-amd64/jre/lib/security/cacerts # keytool -cacerts -list
Enter keystore password:
Keystore type: JKS
Keystore provider: SUN
Your keystore contains 151 entries
修复步骤
我删除了JDK 10证书，并将其替换为JDK 8 由于我正在构建Docker图像，我可以使用多阶段构建快速完成 我正在使用jlink作为/opt/jdk/bin/jlink \构建一个最小的JRE ——模块路径/ opt / jdk / jmods……
这里是不同的路径和命令的顺序…
# Java 8
COPY --from=marcellodesales-springboot-builder-jdk8 /usr/lib/jvm/java-8-openjdk-amd64/jre/lib/security/cacerts /etc/ssl/certs/java/cacerts
# Java 10
RUN rm -f /opt/jdk-minimal/jre/lib/security/cacerts
RUN ln -s /etc/ssl/certs/java/cacerts /opt/jdk-minimal/jre/lib/security/cacerts
在这个问题上浪费了很多时间。如果您导入了证书，您可以看到这里列出了它。
keytool -list -v -keystore $JAVA_HOME/lib/security/cacerts
然后创建新的文件，使用以下命令替换SITE_NAME、SITE_PORT、CERTIFICATE_NAME和保存文件的路径。
echo -n | openssl s_client -connect SITE_NAME:SITE_PORT \
| openssl x509 > /path/to/save/CERTIFICATE_NAME.cert
就我而言，我在Spring中使用Keycloak时遇到了问题。在我用这个命令创建证书并导入到密钥存储库之后，问题就解决了，它可以正常工作
(转载自我的其他回复) 使用java软件发行版中的cli实用工具keytool导入(并信任!)所需的证书
示例:
从命令行更改目录到jre\bin 检查密钥库(在jre\bin目录中找到的文件) Keytool -list -keystore ..\lib\security\cacerts . txt 密码为changeit 从需要的服务器下载并保存链中的所有证书。 添加证书(在需要删除文件..\lib\security\cacerts上的“只读”属性之前)，运行: keytool -alias REPLACE_TO_ANY_UNIQ_NAME -import -keystore.使用实例\lib\security\cacerts -file "r:\root.crt"
我偶然发现了这么一个简单的小窍门。 其他解决方案需要使用InstallCert.Java和JDK
来源:http://www.java-samples.com/showtutorial.php?tutorialid=210
不幸的是——这可能是很多事情——很多应用服务器和其他java“包装器”都倾向于玩弄属性和他们自己的钥匙链等。所以它可能会看一些完全不同的东西。
少了桁架-我会试试:
java -Djavax.net.debug=all -Djavax.net.ssl.trustStore=trustStore ...
看看这是否有用。除了“all”，还可以将其设置为“ssl”，密钥管理器和信任管理器-这可能对您的情况有帮助。在大多数平台上，将它设置为“帮助”会列出如下内容。
无论如何，一定要确保您完全理解密钥存储库(其中有您用来证明自己身份的私钥和证书)和信任存储库(它决定您信任谁)之间的区别，以及您自己的身份也有一个到根的信任“链”，这与您需要确定您信任“谁”的根的任何链是分开的。
all turn on all debugging
ssl turn on ssl debugging
The following can be used with ssl:
record enable per-record tracing
handshake print each handshake message
keygen print key generation data
session print session activity
defaultctx print default SSL initialization
sslctx print SSLContext tracing
sessioncache print session cache tracing
keymanager print key manager tracing
trustmanager print trust manager tracing
pluggability print pluggability tracing
handshake debugging can be widened with:
data hex dump of each handshake message
verbose verbose handshake message printing
record debugging can be widened with:
plaintext hex dump of record plaintext
packet print raw SSL/TLS packets
来源:#见http://download.oracle.com/javase/1.5.0/docs/guide/security/jsse/JSSERefGuide.html#Debug
