Java HTTPS 憑證驗證失敗：PKIX 路徑建構錯誤的完整解決方案

問題現象

呼叫 HTTPS 服務時拋出經典異常：

javax.net.ssl.SSLHandshakeException: 
sun.security.validator.ValidatorException: 
PKIX path building failed: 
sun.security.provider.certpath.SunCertPathBuilderException: 
unable to find valid certification path to requested target

根本原因

JRE 內建的信任憑證庫（cacerts）不包含目標伺服器憑證鏈的根憑證，導致信任鏈驗證中斷。

解決方案對比

標準匯入流程（生產環境適用）

步驟 1：取得伺服器根憑證

1. 瀏覽器開啟目標 HTTPS 網站 → 鎖圖示 → 憑證 → 詳細資料 → 複製到檔案
2. 格式選 Base-64 編碼 X.509 (.cer)，假設存為 server.cer

步驟 2：確認目標 JRE 路徑與權限

# 找出實際執行的 JRE
ps -ef | grep java
# 或在程式中列印 System.getProperty("java.home")

# 確認 cacerts 存在且可寫
ls -l $JAVA_HOME/jre/lib/security/cacerts
# 若無寫入權限，需 sudo 或管理員執行 keytool

步驟 3：使用 keytool 匯入

# 建議建立中繼 keystore 再批量匯入，避免直接操作 cacerts 風險
keytool -importcert -noprompt -trustcacerts \
  -alias myserver -file server.cer \
  -keystore /tmp/mykeystore -storepass changeit

# 將中繼 keystore 合併進 cacerts
keytool -importkeystore \
  -srckeystore /tmp/mykeystore -srcstorepass changeit \
  -destkeystore $JAVA_HOME/jre/lib/security/cacerts -deststorepass changeit

關鍵提醒：cacerts 預設密碼為 changeit 或 changeme。

步驟 4：驗證與生效

# 列出已匯入別名
keytool -list -keystore $JAVA_HOME/jre/lib/security/cacerts | grep myserver

# 重啟 Java 應用程式

進階：自動化腳本範例

#!/bin/bash
# auto-import-cert.sh  
HOSTPORT=$1
ALIAS=${2:-$(echo $HOSTPORT | tr ':' '_')}

openssl s_client -connect $HOSTPORT -showcerts /dev/null \
  | openssl x509 -outform PEM > /tmp/${ALIAS}.pem

keytool -importcert -noprompt -trustcacerts \
  -alias $ALIAS -file /tmp/${ALIAS}.pem \
  -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit

常見坑點排查

• 多 JRE 環境：確保修改的是實際執行的 JRE（JDK 內嵌 JRE 或獨立 JRE）。
• 憑證鏈不完整：若伺服器僅回傳葉子憑證，需手動補齊中間 CA 憑證再匯入。
• 容器化部署：Dockerfile 中使用 RUN keytool ... 於建構階段固化，或掛載含自訂 cacerts 的 volume。