certificateexception需区分场景处理：测试环境可临时放宽校验，生产环境必须严格验证并及时更新证书；常见原因包括证书过期、ca不信任、san不匹配、证书链不完整或被吊销。
Java中遇到 CertificateException（比如证书过期、签名无效、域名不匹配等），不能靠“捕获后忽略”来解决安全问题，而应区分场景做**有依据的处理**：对测试环境可临时放宽校验，生产环境必须严格验证并及时更新证书。
明确 CertificateException 的常见触发点
这个异常通常在 SSL/TLS 握手阶段抛出，常见原因包括：
- 服务器证书已过期（
NotValidAfter时间早于当前时间） - 证书未被信任的 CA 签发（如自签名证书未导入信任库）
- 证书中的
Subject Alternative Name (SAN)不包含请求的域名 - 证书链不完整（中间 CA 证书缺失）
- 证书被吊销（OCSP 或 CRL 检查失败，需启用相关检查才会触发）
捕获时不要吞掉异常，而是分类响应
在 TrustManager 或 HostnameVerifier 中捕获 CertificateException，目的不是静默跳过，而是记录、告警或降级处理：
- 日志记录详细信息：
e.printStackTrace()或提取e.getMessage()，便于定位是过期、域名不匹配还是签名错误 - 对内部测试服务，可按需允许自签名证书（仅限非生产）：
→ 重写X509TrustManager.checkServerTrusted()，对特定证书指纹或 CN 做白名单判断 - 对客户端调用，建议包装成业务异常（如
SecurityHandshakeFailedException），向上层返回明确错误码和提示
预防优于捕获：主动检查与运维配合
运行时捕获只是兜底，关键要从源头减少发生概率：
- 使用工具定期扫描证书有效期：
openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates - 在 CI/CD 流程中加入证书到期检查（例如用
certbot自动续期 + 健康检查） - Java 应用启动时加载自定义
TrustStore，确保包含最新根证书（尤其 JDK 8u101+ 默认信任库可能不含某些新 CA） - 避免硬编码信任逻辑；优先用标准
SSLContext.getDefault()，必要时通过系统属性指定javax.net.ssl.trustStore
调试技巧：快速定位具体失败原因
JVM 启动时加参数可输出详细握手日志：
-
-Djavax.net.debug=ssl:handshake→ 查看证书链、验证步骤、失败节点 -
-Djavax.net.debug=ssl:trustmanager→ 显示 TrustManager 如何校验证书 - 结合
keytool -list -v -keystore $JAVA_HOME/jre/lib/security/cacerts确认信任库内容
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
