要获得远程服务器的证书，你可以使用openssl工具，你可以在BEGIN certificate和END certificate之间找到它，你需要复制并粘贴到你的证书文件(CRT)中。

下面是演示它的命令:

ex +'/BEGIN CERTIFICATE/,/END CERTIFICATE/p' <(echo | openssl s_client -showcerts -connect example.com:443) -scq > file.crt

要从链中返回所有证书，只需添加g (global)，如下所示:

ex +'g/BEGIN CERTIFICATE/,/END CERTIFICATE/p' <(echo | openssl s_client -showcerts -connect example.com:443) -scq

然后，只需将证书文件(file.crt)导入到您的钥匙串中，并使其受信任，这样Java就不会抱怨了。

在OS X上，你可以双击文件或拖放你的钥匙链访问，所以它会出现在登录/证书。然后双击导入的证书并使其始终信任SSL。

在CentOS 5上，您可以将它们追加到/etc/pki/tls/certs/ca-bundle.执行:sudo update-ca-trust force-enable，或者在CentOS 6中拷贝到/etc/pki/ca-trust/source/anchors/，然后执行sudo update-ca-trust extract。

在Ubuntu中，将它们复制到/usr/local/share/ca-certificates中，然后执行sudo update-ca-certificates。

我也有同样的挑战，然后我发现openssl不返回根ca。我已经专门为此目的构建了一个替代方案，这可能对其他开发人员有用，参见这里:GitHub -证书开锁器

使用

打印到控制台

crip print --url=https://stackoverflow.com/ --format=pem

导出到p12信任库

crip export pkcs12 --url=https://stackoverflow.com/

如果需要不同的输出，可以将pkcs12选项替换为pem或der。

我是在这种情况下，从上述命令输出两个证书;所以现在我只提取了第二部分:服务器证书

对不起，命令太长了:

openssl s_client -servername token.actions.githubusercontent.com -showcerts -connect token.actions.githubusercontent.com:443 2>/dev/null </dev/null | awk '/BEGIN CERTIFICATE/ && c++,/END CERTIFICATE/' 

最简单的命令行包括PEM输出，将其添加到密钥库中，以及人类可读的输出，还支持SNI，如果您使用HTTP服务器，这很重要:

openssl s_client -servername example.com -connect example.com:443 \
    </dev/null 2>/dev/null | openssl x509 -text

-servername选项用于启用SNI支持，openssl x509 -text以人类可读的格式打印证书。

启动客户端:

openssl s_client -showcerts stackoverflow.com:443

通过停止STDIN (CTRL+D)或终止进程(CTRL+C)退出。

禁用输入，并在显示证书后强制客户端退出。

openssl s_client -showcerts stackoverflow.com:443 < /dev/null

事实证明这里有更多的复杂性:我需要提供更多的细节来启动它。我认为这与这是一个需要客户端身份验证的连接有关，而握手需要更多的信息才能继续到转储证书的阶段。

下面是我的工作命令:

openssl s_client -connect host:port -key our_private_key.pem -showcerts \
                 -cert our_server-signed_cert.pem

希望这对那些需要更多信息的人来说是一个正确的方向。