sslexception握手失败本质是客户端与服务器安全协商中断，主因四类：协议版本不兼容（如“protocol_version”）、证书链不可信（“pkix path building failed”）、证书过期或时间偏差（“certificateexpiredexception”）、主机名不匹配（“hostname verification failed”）。
Java中遇到javax.net.ssl.SSLException，尤其是提示“握手失败”，本质是客户端与服务器在建立HTTPS连接时，安全协商环节中断。这不是网络不通，而是“语言没对上”或“身份没认出来”。排查关键不在于重试，而在于快速定位断在哪一环：是协议说不到一块儿？证书没人认识？还是时间都错了？下面分四类常见原因直击要害。
看错误消息里的关键词，先锁死问题类型
SSLException本身是总异常，真正线索藏在它的嵌套原因（getCause()）里：
- “protocol_version” → 协议版本不兼容（如客户端只支持TLSv1.1，服务端已禁用）
- “PKIX path building failed” → 证书链不可信（最常见，Java信任库找不到对应根证书）
- “CertificateExpiredException” → 服务器证书过期，或客户端系统时间严重偏差
- “hostname verification failed” → 证书里的域名（CN/SAN）和你实际访问的URL不匹配
检查TLS协议版本是否对得上
Java不同版本默认启用的TLS协议差异很大。Java 8默认支持TLSv1.0–1.2；Java 11+默认禁用TLSv1.0/1.1。如果服务端已关闭旧协议，而你的应用还在用老JDK或显式配置了过时协议，就会握手失败。
- 运行时确认当前支持的协议：
System.getProperty("https.protocols")或查看JVM启动参数 - 临时测试可强制启用TLSv1.2：
-Dhttps.protocols=TLSv1.2加到JVM参数中 - 生产环境建议升级JDK并统一服务端/客户端TLS策略，避免硬编码低版本协议
验证证书链是否完整可信
Java默认只信任$JAVA_HOME/jre/lib/security/cacerts里的CA根证书。若目标服务用的是自签名证书、内网CA或中间证书未正确下发，就会报PKIX错误。
- 用命令导出服务器证书链：
openssl s_client -connect example.com:443 -showcerts - 把根证书或中间证书导入JDK信任库：
keytool -import -trustcacerts -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit -alias myca -file ca.crt - 注意：确保应用运行时加载的是你修改的那个cacerts文件（尤其当机器装了多个JDK时）
确认证书有效期和主机名匹配
证书不是“有就行”，还得“正当时、对得准”：
- 用
keytool -printcert -file server.crt检查Valid from和Valid until，比对本地系统时间（误差超过几分钟就可能触发校验失败） - 证书中的Subject Alternative Name（SAN）必须包含你请求的域名，比如访问
api.internal，但证书只写了www.example.com，也会失败 - 开发调试阶段可用临时绕过（仅限测试！）：
HttpsURLConnection.setDefaultHostnameVerifier((h, s) -> true)，但绝不可用于生产
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
