DBeaver报PKIX path building failed，90%是Java信任库（cacerts）缺失服务器证书链中的根或中间证书，需通过openssl验证证书链完整性，并用对应JRE的keytool将证书导入cacerts后重启DBeaver。
直接说结论：DBeaver 报 PKIX path building failed，**90% 是 Java 信任库（cacerts）里缺了服务器证书链中的根证书或中间证书**，不是 DBeaver 本身配置错，而是它背后用的 JRE 拒绝信任那个 HTTPS 端点。解决核心是让 Java “认得”那个证书。
怎么确认是证书链问题，而不是网络或权限问题
先排除干扰：这个错误和数据库服务是否运行、账号密码对不对、防火墙开没开都无关，只发生在 SSL 握手阶段。典型错误堆栈末尾一定是：
javax.net.ssl.SSLHandshakeException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
验证步骤：
- 在命令行跑
openssl s_client -connect your-db-host:5432 -showcerts /null（PostgreSQL）或openssl s_client -connect your-db-host:1433 -showcerts /null（SQL Server）——注意端口要对 - 看输出里有没有至少两个
-----BEGIN CERTIFICATE-----块；如果只有一个，且不是 DigiCert/GlobalSign/ISRG 等主流 CA，大概率是服务器没发中间证书 - 把第一个证书块（通常是服务器证书）复制出来，保存为
server.crt，用浏览器打开它，看“颁发者”字段是谁——这个“颁发者”必须能在$JAVA_HOME/jre/lib/security/cacerts里找到，否则就得手动导入
keytool 导入证书到 cacerts 的实操要点
这是最常用也最稳妥的解法，但容易在路径、密码、别名上翻车：
-
keytool必须用 DBeaver 启动时实际加载的那个 JRE 自带的——不是系统 PATH 里的，也不是你开发用的 JDK 的。查方法：DBeaver → Help → About DBeaver → Installation Details → 查看jre.home路径 - 导入命令必须带
-trustcacerts参数，否则可能被忽略；默认密码是changeit，但有些企业定制 JRE 改过，得问运维 - 别名（
-alias）不能重复，建议用域名+端口，比如-alias pg-prod-5432；如果重名，先用keytool -list -keystore .../cacerts -storepass changeit查，再用keytool -delete -alias xxx -keystore .../cacerts -storepass changeit删 - 导入后必须重启 DBeaver，JVM 不会热加载信任库
DBeaver 连接配置里 SSL Mode 和 Custom SSL Factory 怎么配
仅当无法修改全局 cacerts（比如没管理员权限），或想为单个连接隔离信任策略时才用这个方案。重点不是“填什么”，而是“哪些字段真正起作用”：
-
SSL Mode设成VERIFY_CA或VERIFY_FULL才会触发证书校验；设成REQUIRED只要求加密，不校验证书，不解决 PKIX 错误 -
Custom SSL Factory如果选org.postgresql.ssl.NonValidatingFactory（PostgreSQL）或com.microsoft.sqlserver.jdbc.SQLServerTrustManager（SQL Server），等于绕过验证——能连上但不安全，仅限调试 - 真要走自定义验证，必须配合
sslrootcert参数指向你导出的server.crt文件绝对路径，且该文件得是 PEM 格式（Base64 编码，以-----BEGIN CERTIFICATE-----开头） - PostgreSQL 场景下，
sslmode=verify-ca+sslrootcert=/path/to/server.crt是最小可行组合；SQL Server 需额外在 JVM 启动参数里加-Djavax.net.ssl.trustStore=/path/to/my-truststore.jks
为什么有时候导入了证书还是报错
常见但容易被忽略的三个点：
- 服务器证书用了通配符（
*.example.com），但你连的是db.example.com——没问题；如果连的是example.com或api.db.example.com，就会因 SAN 不匹配失败 - Java 版本太老（如 JDK 8u161 之前），内置
cacerts缺少 ISRG Root X1（Let’s Encrypt 新根），而很多现代数据库托管服务（如 AWS RDS、Supabase）已切过去 - DBeaver 启动脚本（
dbeaver.ini）里硬编码了-vmargs -Djavax.net.ssl.trustStore=xxx，导致它根本没读系统级cacerts，此时导入再多次也无效
