| 检查服务端证书 | keytool -printcert -file cert.pem（新版 JDK 已移除 -sslserver，可先用 s_client 导出） |
|---|---|
| 查看信任库 | keytool -list -cacerts（JDK 9+）；旧版用 -keystore $JAVA_HOME/lib/security/cacerts |
| 调试开关 | -Djavax.net.debug=ssl:handshake |
排查与导入命令
排查与导入命令
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -outform PEM > server.pem
keytool -printcert -file server.pem
keytool -list -cacerts -storepass changeit | grep -i example
keytool -importcert -alias corp-root -file corp-root.pem -cacerts -storepass changeitJDK 优先读取 jssecacerts（若存在），其次才是 cacerts；更新后需重启 JVM，并先备份原库。