java连接oracle ssl握手失败主因是jvm truststore缺失或过期中间ca证书，需用openssl抓取完整证书链并导入$java_home/jre/lib/security/cacerts，同时确认oracle wallet中证书未过期。
直接结论：不是证书“过期”本身让java连不上oracle，而是jvm校验时发现证书链里某张证书（通常是中间ca或根ca）已过期，或根本不在truststore中——得从目标库真实导出证书链，再导入到你运行java应用的jvm所用的cacerts里。
为什么Java报“CertificateExpiredException”但浏览器能正常访问？
浏览器自带庞大且自动更新的根证书库，还能缓存中间证书、容忍部分过期中间CA；而Java JVM只认$JAVA_HOME/jre/lib/security/cacerts里的证书，且校验更严格。Oracle 19c若配置了自签名或私有CA签发的SSL证书，一旦其中任意一级（比如中间CA证书）在cacerts里缺失或已过期（例如NotAfter早于2026年6月23日），JVM就会抛CertificateExpiredException或PKIX path building failed。
怎么确认到底是哪张证书过期？
别猜，用openssl直连数据库端口抓链：
- 执行
openssl s_client -connect your-db-host:1521 -showcerts /dev/null | openssl x509 -noout -dates，看每张证书的notAfter时间 - 若输出多段
-----BEGIN CERTIFICATE-----，说明含中间CA；逐段保存并分别查日期：openssl x509 -in cert1.pem -noout -dates - 重点检查中间CA证书——它常被忽略，且有效期比服务器证书短得多，2024–2025年签发的很多中间CA证书已在2026年过期
导入证书前必须做三件事
否则导入后依然失败：
- 确认Java应用实际用的是哪个JDK：
ps aux | grep java或查启动脚本里的JAVA_HOME，别默认改/usr/lib/jvm/java-8-openjdk-amd64却运行在java-17-amazon-corretto上 - 检查系统时间是否准确：
date命令输出必须是2026年6月23日左右，偏差超3分钟就会误判证书过期 - 确认JDBC URL启用SSL：
jdbc:oracle:thin:@//host:1521/service?oracle.net.ssl_version=1.2，没加这个参数，驱动可能跳过SSL校验，掩盖问题
导入证书的实操要点
只导入服务器证书不够，中间CA必须一并导入（顺序无关，但别漏）：
- 用
keytool -importcert -file intermediate.crt -alias oracle-intermediate -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit - 再导入服务器证书：
keytool -importcert -file server.crt -alias oracle-db -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit - 如果提示
KeyStore has been modified但连接仍失败，大概率是中间CA证书本身已过期——此时必须联系DBA更新Oracle Wallet里的证书链，而非在Java侧硬导
真正卡住的地方往往不是Java端操作，而是Oracle 19c的Wallet里那张中间CA证书早就过了NotAfter时间，但DBA没重签也没通知。动手前先找DBA要最新的fullchain.pem，而不是沿用去年导出的旧证书文件。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
