连接到 URL 时出错 - PKIX 路径构建失败

Question

我正在尝试连接到网页以收集信息，我正在使用 jsoup 来解析 HTML。但是，每当我尝试连接到 URL 以下载源代码时，我都会收到一条关于 PKIX 构建路径的错误消息。我环顾四周，发现的所有内容都表明要将网站的 CA 根证书添加到我的信任库中，我确实这样做了，但问题仍然存在（CA 根证书已经存在）。我可以通过网络浏览器连接到该网站，但不能通过 URL class。这是我可以编写的最基本的代码，它会产生错误。

public class URLConnectStart {
    public static void main(String[] args) {
        try {
            URL u = new URL("https://ntst.umd.edu/soc/");
            u.openStream();     
        } catch (MalformedURLException e) {
            e.printStackTrace();
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

这里是错误

javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
    at sun.security.ssl.Alerts.getSSLException(Unknown Source)
    at sun.security.ssl.SSLSocketImpl.fatal(Unknown Source)
    at sun.security.ssl.Handshaker.fatalSE(Unknown Source)
    at sun.security.ssl.Handshaker.fatalSE(Unknown Source)
    at sun.security.ssl.ClientHandshaker.serverCertificate(Unknown Source)
    at sun.security.ssl.ClientHandshaker.processMessage(Unknown Source)
    at sun.security.ssl.Handshaker.processLoop(Unknown Source)
    at sun.security.ssl.Handshaker.process_record(Unknown Source)
    at sun.security.ssl.SSLSocketImpl.readRecord(Unknown Source)
    at sun.security.ssl.SSLSocketImpl.performInitialHandshake(Unknown Source)
    at sun.security.ssl.SSLSocketImpl.startHandshake(Unknown Source)
    at sun.security.ssl.SSLSocketImpl.startHandshake(Unknown Source)
    at sun.net.www.protocol.https.HttpsClient.afterConnect(Unknown Source)
    at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(Unknown Source)
    at sun.net.www.protocol.http.HttpURLConnection.getInputStream0(Unknown Source)
    at sun.net.www.protocol.http.HttpURLConnection.getInputStream(Unknown Source)
    at sun.net.www.protocol.https.HttpsURLConnectionImpl.getInputStream(Unknown Source)
    at java.net.URL.openStream(Unknown Source)
    at URLConnectStart.run(URLConnectStart.java:14)
    at URLConnectStart.main(URLConnectStart.java:8)
Caused by: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
    at sun.security.validator.PKIXValidator.doBuild(Unknown Source)
    at sun.security.validator.PKIXValidator.engineValidate(Unknown Source)
    at sun.security.validator.Validator.validate(Unknown Source)
    at sun.security.ssl.X509TrustManagerImpl.validate(Unknown Source)
    at sun.security.ssl.X509TrustManagerImpl.checkTrusted(Unknown Source)
    at sun.security.ssl.X509TrustManagerImpl.checkServerTrusted(Unknown Source)
    ... 16 more
Caused by: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
    at sun.security.provider.certpath.SunCertPathBuilder.build(Unknown Source)
    at sun.security.provider.certpath.SunCertPathBuilder.engineBuild(Unknown Source)
    at java.security.cert.CertPathBuilder.build(Unknown Source)
    ... 22 more

来自 chrome 的关于网站证书的信息

如有任何帮助，我们将不胜感激。这不是一个关键应用程序，因此安全性并不是那么重要，但如果我可以维护安全性，我宁愿这样做。无论如何，我只想通过代码下载此网站的 HTML。

谢谢。

Answer 1

完成证书链所需的网站 does not provide an intermediate certificate。一些用户代理/浏览器有一个称为 AIA 追逐的功能，他们下载必要的中间体，但 Java 客户端不是其中之一。

如果您是站点管理员，解决此问题的正确方法是提供中间证书，以便发送完整的链。即使您是最终用户，也请考虑联系该网站以解决此问题。由于这个问题，使用 Android 浏览器的人如果不接受安全警告也将无法访问此站点。

同时，如果您想在您的客户端中解决这个问题，您可以download the missing intermediate cert and add it to your Java certificate store。

Answer 2

您可以手动将证书安装到 java 密钥库。

打开chrome并给出URL。在地址栏中
单击带有锁图标的安全。
弹出窗口 window 将出现一些选项。
选择 Certificate -> valid link 正下方。
单击详细信息 选项卡并选择复制到文件。
输入一些名称并保存。

第一个命令清除是否存在任何别名（我更喜欢运行这个来自 JAVA_HOME 在 windows 所以路径是相对于这个的。如果你是运行宁从外面请相应地改变路径。

keytool -delete -alias "c11" -keystore ../jre/lib/security/cacerts -storepass changeit -noprompt

现在我们需要安装证书

keytool -import -file "C:\Certificateert\c1.cer" -keystore ../jre/lib/security/cacerts -alias "c11" -storepass changeit -noprompt

密钥库的默认密码是 changeit

如果您有多个证书，请将此命令分别添加到一个文本文件中，并将其另存为 bat 扩展名并放入 JAVA_HOME\bin 或任何你喜欢的地方。确保提到的路径是相对的。

如果您的 jre 在 jdk 之外，请提供它的路径。

keytool -import -file "C:\Certificate\c6.cer" -keystore "C:\Program Files\Java\jre1.8.0_181\lib\security\cacerts" -alias "c66" -storepass changeit -noprompt

连接到 URL 时出错 - PKIX 路径构建失败

Error when connecting to URL - PKIX path building failed

java

encryption

ssl

certificate

pkix