Java 报 "SSLHandshakeException: PKIX path building failed" 怎么解决
Java PKIX path building failed 表示无法构建可信证书链。先修服务端中间链，再核对运行 JVM 信任库；企业 CA 经独立验证后导入应用级 truststore，保持身份验证。
一句话回答：这个错误表示 Java 无法把服务器证书链构建到任何受信根证书——简单说"Java 不认识这张证书"。最常见于自签证书、企业内网 CA、或服务器证书链不完整。解法：将经独立渠道核验的企业 CA 用 keytool -importcert 导入应用专用信任库，或指定自定义 truststore 启动参数。服务器链不完整的要先修服务端。
先确认服务端链完整
openssl s_client -connect 目标域名:443 -servername 目标域名
# 检查发送链与本机信任锚；code 21 可提示链无法验证，并非唯一归因
链不完整（缺中间证书）时浏览器和 JVM 因补链与信任库不同，结果可能不同——先让运维补 fullchain，这比改客户端更正确。
方案一：导入证书到 Java 信任库
先核对运行时使用的 JVM 与 trustStore 参数。不要直接把未验证连接导出的叶子证书当成可信根。
企业 CA 从 IT/PKI 的可信渠道取得，并独立核对 SHA-256 指纹、有效期与用途：
keytool -printcert -file company-root-ca.pem
公网站点优先修复服务端链或更新受支持的 JDK/CA 库；企业 CA 按下文导入应用级 truststore。全局 cacerts 会影响共享该 JDK 的应用，只有统一管理且确认信任范围后才修改。
方案二：应用级自定义 truststore（不动 JDK）
# 复制一份再改，别污染全局
umask 077
cp "$JAVA_HOME/lib/security/cacerts" myapp-truststore
keytool -importcert -alias company-root-ca -file company-root-ca.pem -keystore myapp-truststore
# 交互输入现有库口令并核验显示指纹；扩展名不决定真实 JKS/PKCS12 格式
# 启动参数指定
java -Djavax.net.ssl.trustStore=/path/to/myapp-truststore -jar app.jar
# 如应用需要密码，通过受控的启动/密钥管理配置注入，不将口令写入版本库
容器/多应用共享 JDK 的场景推荐这种，互不影响。
不要做的事
网上常见"自定义 TrustManager 信任所有证书"的代码——永远不要带进生产。它关掉了 TLS 的身份验证，等于对中间人攻击开门。测试环境也尽量用导入 truststore 的正路。
修复 truststore 后，从原来报错的 JVM 重试同一目标。若请求已由探针采集，可在观测云的链路详情检查该调用的错误与耗时，并对照同时间的应用异常日志；外部探测的证书信任环境可能不同，不能代替调用方验证。
常见问题（FAQ）
Q：浏览器访问正常，Java 就报这个错？
A：两套信任库：浏览器用操作系统的，Java 用自己的 cacerts。企业根 CA 通常已进系统库但不在 cacerts 里；或服务器缺中间证书（浏览器能补全，Java 不能）。
Q：导入了还是报错？
A：确认改的是正在运行的那个 JRE 的 cacerts（多 JDK 环境经典坑，ps 看进程用的哪个 java）；证书来自已核验的信任锚，而非盲信服务端返回链；应用确实重启了。
Q：能看 Java 实际信任判断过程吗？
A：加启动参数 -Djavax.net.debug=ssl:handshake，日志会打印证书链与校验细节，排障必备。
参考资料
本文依据官方资料核对，未进行现场运行测试；代码与配置示例需结合实际版本、权限和环境验证。
- docs.oracle.com：java secure socket extension jsse reference guide
- docs.openssl.org：openssl s client
- docs.guance.com：application performance monitoring
- docs.guance.com：http
