SSLHandshakeException:PKIX路径生成失败[重复]

Question

我一直在尝试调试这个错误，但没有成功。

本质上，我是通过我的应用程序联系外部应用程序的。连接建立良好，应用程序通过回调URL联系回我的应用程序，然后我需要向外部应用程序发送最终验证。最后一步由于SSLhandshajee异常而失败。

javax。网ssl。例外：太阳。安全验证器。ValidatorException:PKIX路径生成失败：sun。安全供应商。certpath。SunCertPathBuilderException:找不到请求目标的有效证书路径

我已经看了一下可能的原因，并创建了一个信任存储，其中包含外部应用程序证书，遵循以下步骤：

• 从浏览器下载证书链
• 创建信任存储

keyool-导入-v-信任Cacerts-别名mycert-文件x_my_cert_location_x-keystore信任库

• 将上述信任添加到我的setenv文件中
• 重新启动我的tomcat实例

这并没有解决问题。

我还将cert添加到cacert文件中，并将其添加到服务器中的连接器中。xml文件如下所示：

<Connector port="${catalina.port.https}" server="Apache" protocol="HTTP/1.1"
           SSLEnabled="true" scheme="https" secure="true" sslProtocol="TLS"
           clientAuth="false"
           connectionTimeout="20000"
           compression="on"
           compressionMinSize="200"
           compressableMimeType="text/html,text/xml,text/plain,text/css,text/javascript,application/javascript,application/json,application/xml"
           enableLookups="false"
           URIEncoding="UTF-8"
           keystoreFile="my_store_location" keystorePass="myPwd"/>

在SSL中调试，我可以看到：

> %% Invalidated: [Session-15, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256]
> http-nio-8080-exec-9, SEND TLSv1.2 ALERT: fatal, description =
> certificate_unknown http-nio-8080-exec-9, WRITE: TLSv1.2 Alert, length
> = 2 [Raw write]: length = 7 0000: 15 03 03 00 02 02 2E ....... http-nio-8080-exec-9, called closeSocket() http-nio-8080-exec-9,
> handling exception: javax.net.ssl.SSLHandshakeException:
> sun.security.validator.ValidatorException: PKIX path building failed:
> sun.security.provider.certpath.SunCertPathBuilderException: unable to
> find valid certification path to requested target

这对我来说毫无意义。我的应用程序在java 1.8.242上。有什么建议吗？

Answer 1

该错误表明您缺少试图访问的站点的证书。所以

>

用-Djavax启动java/tomcat。网调试=全部。在日志中，你应该看到这样的行（我去掉了时间戳等）：

 trustStore is: {your-cacerts-file} trustStore
 type is: pkcs12
 trustStore provider is: the last modified time is: Tue Feb 02 18:29:33 GMT 2021 
 Reload the trust store
 Reload trust
 Reloaded {x} trust certs adding as trusted certificates
 ( {then you get a big dump of all {x} certs.}

这样你就可以确定你的cacerts是否真的被阅读。

如果您的文件确实被Tomcat读取，那么编写您自己的小Java程序，该程序使用您的cacerts文件（使用-Djavax.net.ssl.trustStore={路径到我的文件}）和上面使用的相同调试参数。您应该会在添加的证书中看到它的读取。然后从那里进行调试，也许会重新发布这个较小的案例。这不是总的答案，但至少您已经在某种程度上隔离了问题。