建立SSL连接时PKIX路径构建失败

Question

我正在与一个名为CommWeb的商户帐户集成，并向其URL（https://migs.mastercard.com.au/vpcdps）发送一个SSL帖子。当我尝试发送帖子时，出现以下异常：

sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

执行该帖子的代码（我没有写过，并且已经存在于我们的代码库中）是：

public static HttpResponse sendHttpPostSSL(String url, Map<String, String> params) throws IOException {
    PostMethod postMethod = new PostMethod(url);
    for (Map.Entry<String, String> entry : params.entrySet()) {
        postMethod.addParameter(entry.getKey(), StringUtils.Nz(entry.getValue()));
    }

    HttpClient client = new HttpClient();
    int status = client.executeMethod(postMethod);
    if (status == 200) {
        StringBuilder resultBuffer = new StringBuilder();
        resultBuffer.append(postMethod.getResponseBodyAsString());
        return new HttpResponse(resultBuffer.toString(), "");
    } else {
        throw new IOException("Invalid response code: " + status);
    }
}

商户帐户集成的文档对证书一无所知。他们确实提供了一些似乎盲目接受证书的示例JSP代码：

<%! // Define Static Constants
    // ***********************
public static X509TrustManager s_x509TrustManager = null;
public static SSLSocketFactory s_sslSocketFactory = null;

static {
        s_x509TrustManager = new X509TrustManager() {
        public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[] {}; } 
        public boolean isClientTrusted(X509Certificate[] chain) { return true; } 
        public boolean isServerTrusted(X509Certificate[] chain) { return true; } 
    };

    java.security.Security.addProvider(new com.sun.net.ssl.internal.ssl.Provider());
    try {
        SSLContext context = SSLContext.getInstance("TLS");
        context.init(null, new X509TrustManager[] { s_x509TrustManager }, null);
        s_sslSocketFactory = context.getSocketFactory();
    } catch (Exception e) {
        e.printStackTrace();
        throw new RuntimeException(e.getMessage());
    }
}

...
...
           // write output to VPC
            SSLSocket ssl = (SSLSocket)s_sslSocketFactory.createSocket(s, vpc_Host, vpc_Port, true);
            ssl.startHandshake();
            os = ssl.getOutputStream();
            // get response data from VPC
            is = ssl.getInputStream();
...
...
%>

我们的Web应用程序有一个密钥库，我尝试使用keytool命令添加证书（从firefox导出），但这没有用，并且出现了相同的错误。我已经在网络上尝试了解决方案（导入密钥并使用System.setProperty），但这似乎有些笨拙，并且没有用（给我一个NoSuchAlgorithmError）。任何帮助表示赞赏！

Answer 1

显然，valicert 3类CA证书不在您的默认信任库中（它可能是JRE lib /
security目录中的cacerts文件，但请参阅JSSE文档以获取全文）。

您可以将此证书添加到cacerts文件中，但我不建议这样做。相反，我认为您应该创建自己的信任库文件（可以是cacerts文件的副本），并在其中添加valicert根ca。然后使用javax.net.ssl.trustStore系统属性指向该文件。