本文详解 Java 运行时因系统 hosts 文件异常导致 PKIX path building failed 错误的根本原因与一键修复方案，适用于 JDK 11/17+ 环境下 Gradle、Maven、Forge 安装器等纯 Java 工具无法建立 HTTPS 连接的问题。
本文详解 java 运行时因系统 hosts 文件异常导致 `pkix path building failed` 错误的根本原因与一键修复方案，适用于 jdk 11/17+ 环境下 gradle、maven、forge 安装器等纯 java 工具无法建立 https 连接的问题。
该错误看似是 Java 证书信任库（cacerts）缺失或损坏所致，实则常由 Windows 系统底层网络解析异常引发——并非 Java 自身证书问题，而是 HTTPS 请求在 DNS 解析阶段被错误劫持或阻断。
? 根本原因：hosts 文件污染导致 SSL 握手失败
错误堆栈中关键线索在于：
unable to find valid certification path to requested target
这通常被误判为证书链验证失败，但结合上下文（未主动访问自定义 HTTPS 服务、重装 JDK 无效、仅影响纯 Java 工具），应优先排查本地域名解析层。
经验证，问题根源往往位于：
C:\Windows\System32\drivers\etc\
该目录下若存在非标准文件（如 host、hosts.bak、hosts.old 或命名相似的干扰文件），Windows 系统可能误读并加载这些文件，导致 https://repo.maven.apache.org、https://launchermeta.mojang.com 等关键 Maven/Forge 仓库域名被错误解析至 127.0.0.1 或无效 IP，进而触发 SSL 证书校验失败（因服务端返回的是 localhost 的自签名证书，而非目标站点的合法证书）。
⚠️ 注意：此行为与 Java 的 cacerts 文件无关。JDK 自带的 cacerts（位于 $JAVA_HOME/lib/security/cacerts）默认已预置 DigiCert、GlobalSign、Sectigo 等主流根证书，足以验证所有公共 HTTPS 服务。
✅ 修复步骤（三步清零法）
-
定位并清理异常 hosts 相关文件
打开资源管理器，导航至：C:\Windows\System32\drivers\etc\
检查是否存在以下非标准文件（除 hosts 外）：
- host（无扩展名）
- hosts.bak / hosts.old / hosts.copy
- hosts_2024 等带时间戳或后缀的副本
→ 全部删除（保留唯一合法文件：hosts）
-
验证并重置标准 hosts 文件
用记事本（以管理员身份运行）打开 hosts，确保内容仅含默认注释与本地回环：# Copyright (c) 1993-2009 Microsoft Corp. # # This is a sample HOSTS file used by Microsoft TCP/IP for Windows. # # This file contains the mappings of IP addresses to host names. Each # entry should be kept on an individual line. The IP address should # be placed in the first column followed by the corresponding host name. # The IP address and the host name should be separated by at least one # space. # # Additionally, comments (such as these) may be inserted on individual # lines or following the machine name denoted by a '#' symbol. # # For example: # # 102.54.94.97 rhino.acme.com # source server # 38.25.63.10 x.acme.com # x client host # localhost name resolution is handled within DNS itself. # 127.0.0.1 localhost # ::1 localhost
→ 删除所有额外添加的映射行（尤其是指向 repo.maven.apache.org、repo.gradle.org 等域名的条目）。
-
刷新 DNS 并验证修复效果
以管理员身份运行命令提示符，执行：ipconfig /flushdns ping repo.maven.apache.org
确保返回真实公网 IP（非 127.0.0.1）。随后测试 Gradle：
gradle --version
若成功输出版本信息，即表示 HTTPS 连接恢复。
?️ 预防建议
- 禁止第三方软件擅自修改 etc 目录：尤其警惕“网络优化”“加速器”类工具，它们常静默备份并篡改 hosts。
-
使用 icacls 锁定 hosts 文件权限（可选）：
icacls "C:\Windows\System32\drivers\etc\hosts" /deny "Everyone:(W)"
-
定期校验 JDK 证书完整性（辅助确认）：
keytool -list -v -keystore "%JAVA_HOME%\lib\security\cacerts" -storepass changeit | findstr "DigiCert Global Root CA"
应能查到 DigiCert Global Root CA（Java 11+ 默认包含）。
? 总结
当 Java 工具报 PKIX path building failed 却未主动访问私有 HTTPS 服务时，请跳出“证书缺失”思维定式。90% 以上同类案例源于 C:\Windows\System32\drivers\etc\ 目录下 hosts 文件生态污染。清理冗余文件、重置标准 hosts、刷新 DNS，即可在不重装 JDK、不导入证书的前提下彻底解决。这是 Windows + Java 开发环境中一个隐蔽却高频的“系统级信任链中断”问题。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
