Java HTTP协议中的SSL/TLS配置

Java HTTP 协议中的 SSL TLS 配置

一 核心概念与准备

• JSSE 是 Java 平台用于 SSL/TLS 的框架，提供 SSLContext、KeyManager、TrustManager、SSLSocketFactory 等核心组件。
• 准备证书与密钥：使用 keytool 生成 JKS 密钥库（存放服务端私钥与证书），或将服务端证书导入客户端 信任库（默认 JRE/lib/security/cacerts）。
• 常用命令示例：
  • 生成密钥库：keytool -genkeypair -alias server -keyalg RSA -keysize 2048 -keystore keystore.jks -validity 365
  • 导出服务器证书：keytool -exportcert -alias server -file server.cer -keystore keystore.jks
  • 导入到信任库：keytool -importcert -alias server -file server.cer -keystore $JAVA_HOME/lib/security/cacerts
• 运行时可设置系统属性指定协议与证书库：https.protocols=TLSv1.2,TLSv1.3、javax.net.ssl.keyStore、javax.net.ssl.trustStore 等（生产环境更推荐在代码中显式配置 SSLContext）。

二 客户端配置

• 原生 HttpsURLConnection
  • 创建并初始化 SSLContext（加载信任库或自定义 X509TrustManager），将其 SSLSocketFactory 设置到连接；按需设置 https.protocols。
  • 示例要点：
    • SSLContext.getInstance("TLS").init(null, trustManagers, null)
    • conn.setSSLSocketFactory(sslContext.getSocketFactory())
    • System.setProperty("https.protocols", "TLSv1.2,TLSv1.3")
• Apache HttpClient
  • 使用 SSLContextBuilder 构建 SSLContext，配合 SSLConnectionSocketFactory 创建 CloseableHttpClient。
  • 示例要点：
    • SSLContext sslContext = SSLContextBuilder.create().loadTrustMaterial(trustStore, trustPassword).build();
    • SSLConnectionSocketFactory sf = new SSLConnectionSocketFactory(sslContext);
    • CloseableHttpClient client = HttpClients.custom().setSSLSocketFactory(sf).build();
• OkHttp
  • 构建 SSLContext 与 X509TrustManager，在 OkHttpClient.Builder 中设置 sslSocketFactory 与 X509TrustManager。
  • 示例要点：
    • OkHttpClient client = new OkHttpClient.Builder().sslSocketFactory(sslContext.getSocketFactory(), trustManager).build();
• 证书与域名校验
  • 自签名或私有 CA 场景，将服务器证书导入客户端信任库，或实现自定义 X509TrustManager（仅测试环境可接受“信任所有”策略）。

三 服务端配置

• 内置 HttpsServer
  • 使用 com.sun.net.httpserver.HttpsServer 与 HttpsConfigurator，通过 SSLContext 配置协议与密码套件，并可按需开启 双向认证（mTLS）。
  • 示例要点：
    • HttpsServer server = HttpsServer.create(new InetSocketAddress(8443), 0);
    • server.setHttpsConfigurator(new HttpsConfigurator(sslContext) { ... });
    • 在 configure(HttpsParameters) 中设置 setNeedClientAuth(true/false)、setCipherSuites、setProtocols。
• 原生 SSLServerSocket
  • 基于 SSLContext.getServerSocketFactory() 创建 SSLServerSocket，绑定端口并 accept 处理请求。
  • 示例要点：
    • SSLServerSocketFactory ssf = sslContext.getServerSocketFactory();
    • ServerSocket ss = ssf.createServerSocket(8443);
• 证书与密钥加载
  • 从 JKS 加载私钥与证书，初始化 KeyManagerFactory，再用其初始化 SSLContext：
    • KeyStore ks = KeyStore.getInstance("JKS"); ks.load(in, pwd);
    • KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm()); kmf.init(ks, pwd);
    • SSLContext sslContext = SSLContext.getInstance("TLS"); sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);
• 双向认证
  • 服务端需同时加载信任库（客户端证书链），并在 HttpsParameters 或 SSLServerSocket 上启用 setNeedClientAuth(true)。

四 协议与算法安全建议

• 启用 TLSv1.2/TLSv1.3，禁用 SSL 与过时协议；在 java.security 中配置：
  • jdk.tls.disabledAlgorithms=SSLv3,TLSv1,TLSv1.1,RC4,MD5withRSA,...
  • https.protocols=TLSv1.2,TLSv1.3
• 使用强密码套件（优先 ECDHE + AEAD），避免使用 RC4、DES、MD5 等已知弱点算法。
• 验证证书链与主机名（避免仅信任叶子证书）；证书到期前及时轮换。
• 生产环境避免“信任所有证书”的 TrustManager；测试环境如需跳过校验，务必隔离且明确风险。

五 常见问题与排查

• 证书不受信任或链不完整：将服务器证书导入客户端信任库，或在客户端正确加载包含中间 CA 的信任库。
• 协议不匹配：客户端与服务端需同时支持 TLSv1.2/1.3，可通过 https.protocols 或 SSLParameters 明确协商版本。
• 握手失败与异常：捕获 SSLHandshakeException、SSLException、IOException，结合日志与抓包定位是协议、证书、域名还是密码套件问题。
• 双向认证失败：确认客户端证书链完整、服务端信任库配置正确，并在服务端开启 setNeedClientAuth(true)。