spring cURL error 60: SSL certificate problem: unable to get local issuer certificate

### Spring 应用中解决 cURL 错误 60 的方法 当遇到 `cURL error 60: SSL certificate problem: unable to get local issuer certificate` 错误时，这通常意味着客户端未能验证服务器的SSL证书。对于Spring应用程序而言，可以通过多种方式解决问题。 #### 方法一：安装并配置全局CA证书 为了使Java环境能够识别和信任特定的根证书颁发机构(CA)，可以将受信的CA证书导入JVM的信任库中。具体操作如下： 1. 下载最新的 CA Bundle 文件（例如 cacert.pem），可从官方源获取[^4]。 2. 将该文件转换成适合 Java 使用的形式，即 JKS 或 PEM 格式的 keystore 文件。使用 keytool 工具完成这一过程： ```bash keytool -importcert -file /path/to/cacert.pem -alias my_ca_alias -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit ``` 3. 修改 JVM 启动参数以指向新的 trustStore 路径（如果需要的话）。可以在启动脚本里加入 `-Djavax.net.ssl.trustStore=/path/to/truststore.jks` 和 `-Djavax.net.ssl.trustStorePassword=yourpassword` 参数。 #### 方法二：禁用SSL验证（仅限测试） 虽然不推荐用于生产环境中，但在某些情况下可能希望暂时绕过SSL验证来进行调试或内部网络中的快速原型设计。可通过自定义 RestTemplate 来实现这一点： ```java @Bean public RestTemplate restTemplate() throws Exception { TrustStrategy acceptingTrustStrategy = (X509Certificate[] chain, String authType) -> true; SSLContext sslContext = org.apache.http.ssl.SSLContexts.custom() .loadTrustMaterial(null, acceptingTrustStrategy) .build(); SSLConnectionSocketFactory csf = new SSLConnectionSocketFactory(sslContext); CloseableHttpClient httpClient = HttpClients.custom().setSSLSocketFactory(csf).build(); HttpComponentsClientHttpRequestFactory requestFactory = new HttpComponentsClientHttpRequestFactory(); requestFactory.setHttpClient(httpClient); return new RestTemplate(requestFactory); } ``` 这种方法会忽略所有的SSL认证失败情况，因此只应在绝对必要的情况下采用，并且绝不可部署于公开互联网上运行的服务之中。 #### 方法三：指定单个请求使用的CA证书 针对个别 HTTP 请求，也可以单独为其提供可信的 CA 证书链而无需更改整个系统的设置。下面是一个基于 Apache HttpClient 实现的例子： ```java // 加载PEM格式的CA证书作为输入流 InputStream caCertStream = getClass().getResourceAsStream("/path/to/your-ca-cert.pem"); KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType()); try (BufferedInputStream bis = new BufferedInputStream(caCertStream)) { CertificateFactory cf = CertificateFactory.getInstance("X.509"); X509Certificate cert = (X509Certificate)cf.generateCertificate(bis); ks.load(null); // 初始化为空密钥存储区 ks.setCertificateEntry("ca", cert); } String algorithm = Security.getProperty("ssl.TrustManagerFactory.algorithm"); TrustManagerFactory tmf = TrustManagerFactory.getInstance(algorithm); tmf.init(ks); SSLContext ctx = SSLContext.getInstance("TLSv1.2"); ctx.init(null, tmf.getTrustManagers(), null); CloseableHttpClient client = HttpClients.custom() .setSSLContext(ctx) .build(); HttpGet httpGet = new HttpGet("https://example.com/"); HttpResponse response = client.execute(httpGet); System.out.println(response.getStatusLine()); client.close(); ``` 上述代码片段展示了如何创建一个带有预加载CA证书的信任管理器工厂实例，并将其应用于单一HTTP GET请求中。