netty中配置自签名证书需用selfsignedcertificate指定域名（如"localhost"）以满足san校验，客户端禁用默认信任管理器（测试用insecuretrustmanagerfactory），服务端正确创建sslhandler并确保其位于pipeline首位，同时注意证书与私钥分文件且私钥不加密。

Netty里SslHandler怎么配自签名证书才不报javax.net.ssl.SSLHandshakeException

直接原因是证书链不被信任，SslHandler默认用JDK的TrustManager校验服务端证书，而自签名证书不在JVM信任库中。别急着改JVM参数，先让Netty自己管信任逻辑更可控。

• 服务端必须调用sslCtx.newHandler(ch.alloc())生成SslHandler，不能复用同一个实例（线程不安全）
• 客户端要显式禁用默认信任管理：用SelfSignedCertificate生成证书后，构造SslContext时传入InsecureTrustManagerFactory.INSTANCE（仅测试用）
• 生产环境绝不能用InsecureTrustManagerFactory，得换成加载CA证书的trustManager(new File("ca.crt"))
• 证书生成命令别用openssl req -x509直接输出PEM——Netty的PemReader要求私钥和证书分两个文件，且私钥不能加密（即不能带DEK-Info头）

SelfSignedCertificate生成的证书为啥客户端连不上，提示No subject alternative names present

Java 7u95+ 和 Android 7.0+ 默认校验Subject Alternative Name (SAN)，而Netty的SelfSignedCertificate默认不写SAN字段，导致握手失败。

• 必须手动指定域名：用new SelfSignedCertificate("localhost")，而不是无参构造
• 如果测试用IP直连（如127.0.0.1），得写new SelfSignedCertificate("127.0.0.1")，否则证书里的CN不匹配
• 浏览器访问https://localhost:8443时，若证书SAN里没DNS:localhost，会直接拦截；Chrome控制台报错ERR_CERT_COMMON_NAME_INVALID
• 验证证书内容：用openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"

为什么SslHandler加在pipeline最前面还是收不到加密后的数据

SslHandler必须是pipeline中第一个入站处理器，但它本身不阻塞或丢弃数据——问题往往出在它还没完成SSL握手，后续handler就误读了未解密的字节流。

• 务必在SslHandler后加ByteToMessageDecoder类解码器（如LengthFieldBasedFrameDecoder），不能把StringDecoder之类放它前面
• 检查SslHandler.handshakeFuture().sync()是否被调用：服务端通常不用等，但客户端建立连接后建议handshakeFuture().await(10, TimeUnit.SECONDS)确保握手完成
• 抓包确认：用Wireshark看TLS层是否正常交换ClientHello/ServerHello，如果卡在ClientHello没响应，大概率是服务端SslContext初始化失败（比如证书路径错、密码错）
• 日志开到DEBUG级：设置io.netty.handler.ssl为DEBUG，能看到具体在哪步失败（如failed to initialize the default SSL context）

Netty 4.1.x升级到4.2+后SslContext.build()报NoSuchMethodError

4.2开始废弃SslContextBuilder.forServer(...)的证书路径重载方法，改用keyManager(File keyCertChainFile, File keyFile)，老代码直接崩。

• 旧写法SslContextBuilder.forServer(certFile, keyFile)在4.2+已删，必须拆成两个File参数
• 如果证书和私钥在同一个PKCS#12文件（.p12/.pfx），得用keyManager(File keyStoreFile, String keyStorePassword, String keyPassword)
• 注意keyFile必须是纯RSA/EC私钥（BEGIN RSA PRIVATE KEY），不能是PKCS#8格式（BEGIN PRIVATE KEY）——后者需用openssl pkcs8 -topk8 -nocrypt -in key.pem -out key-pkcs8.pem转换
• Android上记得排除netty-tcnative，用纯Java SSL提供者，否则java.lang.UnsatisfiedLinkError会掩盖真实错误

证书路径拼错、SAN字段漏写、SslHandler位置不对——这三个点占了调试SSL通信问题的八成。剩下两成，基本是JDK版本和OpenSSL版本对不上，比如JDK 11默认禁用TLS 1.0，而旧设备只支持到1.0。