为什么java使用JAVA_HOME / lib / security / cacerts的默认位置密钥库/信任库，尽管我提供了-Djavax.net.ssl.trustStore属性

Question

在我的java应用程序中，我使用提供的-Djavax.net.ssl.trustStore系统属性运行如下。

-Djavax.net.ssl.trustStore=/myapp/app.jks -Djavax.net.ssl.trustStorePassword=XXXXX -Djavax.net.ssl.trustStoreType=jks -Djavax.net.debug=ssl

这是我的完整命令行：

$JAVA_HOME/bin/java -XX:+HeapDumpOnOutOfMemoryError -XX:HeapDumpPath=/tmp -Xms512m -Xmx1024m -XX:MaxPermSize=192m -Djavax.net.ssl.trustStore=/myapp/app.jks -Djavax.net.ssl.keyStore=/myapp/app.jks -Djavax.net.ssl.trustStorePassword=XXXXX -Djavax.net.ssl.keyStorePassword=XXXXX -Dweblogic.security.SSL.ignoreHostnameVerification=true -Djavax.net.debug=ssl -Djavax.net.ssl.trustStoreType=jks -cp /Oracle/Middleware/Oracle_Home/wlserver/server/lib/wlfullclient.jar:/myapp/stand‌​alone/lib/asm-5.0.3.jar:/myapp/standalone/lib/castor-1.3.2-core.jar:/myapp/standa‌​lone/lib/myAPP_final.jar

但是java没有使用来自自定义路径的自定义keyStore的证书。默认情况下，我将使用$JAVA_HOME/lib/security/cacerts，我将获得以下异常：

java.net.ConnectException: t3s://myapphost.com:7500: Destination 10.243.155.222, 7900 unreachable; nested exception is:
        javax.net.ssl.SSLHandshakeException: General SSLEngine problem; No available router to destination

当我在$JAVA_HOME/lib/security/cacerts中导入并添加相同的证书时，它不会给出任何异常。

我已经推荐和这个post并尝试在$JAVA_HOME/jre/lib/security/java.security配置相同的东西并添加以下条目：

javax.net.ssl.trustStore=/myapp/app.jks
javax.net.ssl.trustStorePassword=XXXXX
javax.net.ssl.trustStoreType=jks

我仍面临同样的问题。

我的问题和问题是，为什么java总是使用java默认keyStore位置：$JAVA_HOME/lib/security/cacerts虽然我已经提供并配置了我自己的自定义keyStore使用：-Djavax.net.ssl.trustStore=/myapp/app.jks -Djavax.net.ssl.trustStorePassword=XXXXX -Djavax.net.ssl.trustStoreType=jks -Djavax.net.debug=ssl

如果我在默认的java keyStore loation中导入相同的证书，它对我来说工作正常。

我需要更改的地方和内容，以配置不同的密钥库以避免上述异常。

Answer 1

看到this Post后，我已经配置并提供了以下系统属性-D选项，它解决了我的问题。希望它能帮助别人，所以我发布它。

-Dweblogic.security.CustomTrustKeyStoreFileName=/myapp/app.jks 
 -Dweblogic.security.TrustKeyStore=CustomTrust 
 -Dweblogic.security.CustomTrustKeyStorePassPhrase=XXXXXPWD
 -Dweblogic.security.CustomTrustKeyStoreType=jks 

我已经理解了以下我保留的注意事项：-Dweblogic.security.TrustKeyStore参数。

注1：-Dweblogic.security.TrustKeyStore将具有以下选项和内部解释

1. -Dweblogic.security.TrustKeyStore=JavaStandardTrust（我们应该在JDK的cacerts中使用受信任的CA时指定）
2. -Dweblogic.security.TrustKeyStore=DemoTrust（我们应该在DemoTrust.jks和JDK的cacerts中使用受信任的CA时指定）
3. -Dweblogic.security.TrustKeyStore=CustomTrust（我们应该在来自另一个密钥库的可信CA时使用，指定此项）。

笔记2：

如果你有下面的Exception，这意味着你的java应用程序没有在指定的信任库中找到证书。

sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
        at sun.security.validator.PKIXValidator.doBuild(PKIXValidator.java:385)
        at sun.security.validator.PKIXValidator.engineValidate(PKIXValidator.java:292)
        at sun.security.validator.Validator.validate(Validator.java:260)

PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException:unable to find valid certification path to requested target,It is telling the same.

注3：重要的事情是尝试配置-Djavax.net.debug=ssl以查看更详细的日志视图。通常没有该参数我们将无法看到更多详细信息日志。