快捷導(dǎo)航

linux系統(tǒng)中java的cacerts的優(yōu)先級(jí)詳解

更新時(shí)間：2025年09月28日 10:13:23 作者：大囚長(zhǎng)

文章講解了Java信任庫（cacerts）的優(yōu)先級(jí)與管理方式,指出JDK自帶的cacerts默認(rèn)優(yōu)先級(jí)更高,系統(tǒng)級(jí)cacerts需手動(dòng)同步或顯式指定,建議保持證書同步以避免SSL驗(yàn)證問題,或?yàn)樘囟☉?yīng)用配置獨(dú)立信任庫

特性	JDK 自帶 cacerts	系統(tǒng)擴(kuò)展 Java cacerts
路徑示例	/usr/lib/jvm/java-1.8.0-openjdk-1.8.0.262.b10-1.el7.x86_64/jre/lib/security/cacerts	/etc/pki/ca-trust/extracted/java/cacerts
維護(hù)方	JDK 提供商 (如 Oracle, OpenJDK)	操作系統(tǒng) (如 Red Hat, CentOS, Fedora 通過 ca-certificates 包維護(hù))
更新方式	JDK 更新或手動(dòng)使用 keytool	系統(tǒng)包管理器 (如 yum update ca-certificates) 或通過 update-ca-trust 命令
主要用途	Java 運(yùn)行環(huán)境 (JRE) 默認(rèn)的信任庫	為系統(tǒng)上所有 Java 實(shí)例提供一個(gè)統(tǒng)一、集中管理的信任源，確保不同 JDK/JRE 都使用相同的證書列表。
優(yōu)先級(jí)	高 (Java默認(rèn)使用它)	低 (除非Java程序顯式指定)
關(guān)系	基礎(chǔ)信任庫	旨在同步或替代JDK自帶信任庫，提供一致性。

Java 默認(rèn)使用哪個(gè)？

Java 虛擬機(jī) (JVM) 在啟動(dòng)時(shí)，默認(rèn)會(huì)使用其所在 JRE 目錄下的 cacerts 文件，即你例子中的

/usr/lib/jvm/java-1.8.0-openjdk-1.8.0.262.b10-1.el7.x86_64/jre/lib/security/cacerts

這是 Java 的標(biāo)準(zhǔn)行為。

若要讓 Java 使用系統(tǒng)的

/etc/pki/ca-trust/extracted/java/cacerts???????

通常需要在啟動(dòng) Java 程序時(shí)顯式指定系統(tǒng)屬性：

java -Djavax.net.ssl.trustStore=/etc/pki/ca-trust/extracted/java/cacerts -Djavax.net.ssl.trustStorePassword=changeit -jar your_application.jar

（注意：changeit 是默認(rèn)密碼，請(qǐng)根據(jù)實(shí)際情況修改）

如何檢查當(dāng)前使用的信任庫？

如果想知道某個(gè)正在運(yùn)行的 Java 進(jìn)程實(shí)際使用的是哪個(gè)信任庫，可以使用以下命令。確保 jcmd 的版本與目標(biāo) Java 進(jìn)程的版本一致。

# 首先，找到你的Java進(jìn)程的PID
jps -l

# 然后，使用jcmd查看該進(jìn)程的SSL屬性（將YOUR_PID替換為實(shí)際的進(jìn)程ID）
jcmd YOUR_PID VM.system_properties | grep javax.net.ssl.trustStore

操作建議

保持同步更新：為了避免困惑和潛在的SSL驗(yàn)證問題，建議定期將系統(tǒng)信任庫中的證書同步到JDK的信任庫中，或者反之（取決于你的管理策略）。對(duì)于 RHEL/CentOS/Fedora 等系統(tǒng)，在通過 yum update ca-certificates 更新系統(tǒng)證書后，系統(tǒng)級(jí)的 /etc/pki/ca-trust/extracted/java/cacerts 會(huì)自動(dòng)更新。你可能需要手動(dòng)將更改同步到其他JDK的信任庫中，或配置應(yīng)用使用系統(tǒng)的信任庫。
為特定應(yīng)用指定信任庫：如果某個(gè)應(yīng)用需要特殊的證書信任策略，最佳實(shí)踐是在啟動(dòng)該應(yīng)用時(shí)通過命令行參數(shù) (-Djavax.net.ssl.trustStore=...) 為其指定一個(gè)獨(dú)立的信任庫文件，而不是修改全局的默認(rèn)信任庫。