為什么 RestTemplate 調用 HTTPS 總報 “主機名不匹配”？CertificateException 根源解析

作者：一安 2025-08-26 02:00:00

RestTemplate?能同時兼容HTTP和HTTPS?協議，是因為RestTemplate?底層會依據請求的URL?協議（http或https?）自動選擇對應的處理邏輯。

前言

在使用RestTemplate調用 API的過程中，我們可能會遇到java.security.cert.CertificateException: No name matching這樣的錯誤。

原因解析

java.security.cert.CertificateException: No name matching錯誤本質上是SSL證書驗證失敗的一種表現。當RestTemplate通過HTTPS協議調用API時，會對服務器返回的SSL證書進行驗證。其中，證書中的主機名（Common Name，簡稱 CN）或主題備用名稱（Subject Alternative Name，簡稱 SAN）需要與我們實際調用的API的主機名相匹配。如果不匹配，就會觸發該錯誤，這是Java的SSL/TLS機制為了保障通信安全而采取的措施，防止中間人攻擊等安全風險。

解決方法

方法一：忽略 SSL 證書驗證（僅適用于開發環境）

創建一個信任所有證書的SSLContext，并將其應用到RestTemplate中。具體代碼如下：

@Configuration
public class RestTemplateConfig {

    @Bean
    public RestTemplate restTemplate() throws Exception {
        // 創建信任所有證書的SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLS");
        TrustManager[] trustAllCerts = new TrustManager[]{
                new X509TrustManager() {
                    @Override
                    public void checkClientTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {
                    }

                    @Override
                    public void checkServerTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {
                    }

                    @Override
                    public X509Certificate[] getAcceptedIssuers() {
                        return null;
                    }
                }
        };
        sslContext.init(null, trustAllCerts, new java.security.SecureRandom());

        // 創建HostnameVerifier，信任所有主機名
        HostnameVerifier hostnameVerifier = (s, sslSession) -> true;

        // 配置RestTemplate
        SimpleClientHttpRequestFactory requestFactory = new SimpleClientHttpRequestFactory();
        HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());
        HttpsURLConnection.setDefaultHostnameVerifier(hostnameVerifier);
        requestFactory.setConnectTimeout(30000);
        requestFactory.setReadTimeout(30000);

        return new RestTemplate(requestFactory);
    }
}

方法二：配置正確的 SSL 證書（適用于生產環境）

獲取正確的SSL證書：從API服務提供商處獲取包含正確主機名（CN或SAN）的 SSL 證書，通常為.cer或.pem格式。
導入證書到信任庫：使用Java的keytool工具將證書導入到Java的信任庫中。命令如下：

keytool -import -alias apiCert -file /path/to/certificate.cer -keystore $JAVA_HOME/jre/lib/security/cacerts

?
執行該命令時，需要輸入信任庫的默認密碼changeit

配置RestTemplate使用信任庫：在創建RestTemplate時，指定使用包含正確證書的信任庫。代碼如下：

@Configuration
public class RestTemplateConfig {

    @Bean
    public RestTemplate restTemplate() throws Exception {
        // 加載信任庫
        KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
        FileInputStream fis = new FileInputStream("/path/to/truststore/apiCert.jks");
        trustStore.load(fis, "truststorePassword".toCharArray());
        fis.close();

        // 初始化TrustManagerFactory
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(trustStore);

        // 創建SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, tmf.getTrustManagers(), new java.security.SecureRandom());

        // 配置RestTemplate
        SimpleClientHttpRequestFactory requestFactory = new SimpleClientHttpRequestFactory();
        HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());
        requestFactory.setConnectTimeout(30000);
        requestFactory.setReadTimeout(30000);

        return new RestTemplate(requestFactory);
    }
}

總結

RestTemplate能同時兼容HTTP和HTTPS協議，是因為RestTemplate底層會依據請求的URL協議（http或https）自動選擇對應的處理邏輯。當請求為HTTP時，不會觸發SSL證書驗證相關的流程，直接按照HTTP的通信方式進行數據傳輸；當請求為HTTPS時，才會運用我們配置的SSLContext等相關參數進行證書驗證和加密通信。

在生產環境中，為了更靈活地兼容兩種協議，我們可以對RestTemplate的配置進行進一步優化，使用HttpComponentsClientHttpRequestFactory替代SimpleClientHttpRequestFactory，它對HTTP和HTTPS的支持更為完善。

public class RestTemplateConfig {

    public RestTemplate restTemplate() throws Exception {
        // 加載信任庫
        KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
        trustStore.load(new FileInputStream("path/to/truststore"), "truststorePassword".toCharArray());

        // 構建SSLContext
        SSLContext sslContext = SSLContextBuilder.create()
                .loadTrustMaterial(trustStore, null)
                .build();

        // 創建SSL連接套接字工廠
        SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(sslContext);

        // 創建HttpClient
        HttpClient httpClient = HttpClients.custom()
                .setSSLSocketFactory(sslSocketFactory)
                .build();

        // 配置請求工廠
        HttpComponentsClientHttpRequestFactory requestFactory = new HttpComponentsClientHttpRequestFactory(httpClient);
        requestFactory.setConnectTimeout(30000);
        requestFactory.setReadTimeout(30000);

        return new RestTemplate(requestFactory);
    }
}

也可以SimpleClientHttpRequestFactory實現協議自適應處理，具體步驟如下：

public class DualProtocolRequestFactory extends SimpleClientHttpRequestFactory {

    @Override
    protected void prepareConnection(HttpURLConnection connection, String httpMethod) {
        try {
            // HTTP請求直接處理
            if (!(connection instanceof HttpsURLConnection)) {
                super.prepareConnection(connection, httpMethod);
                return;
            }

            // HTTPS請求跳過證書驗證（僅測試環境）
            HttpsURLConnection httpsConnection = (HttpsURLConnection) connection;
            SSLContext sslContext = SSLContext.getInstance("TLS");
            sslContext.init(null, new TrustManager[]{new BlindTrustManager()}, null);
            httpsConnection.setSSLSocketFactory(sslContext.getSocketFactory());
            httpsConnection.setHostnameVerifier((hostname, session) -> true); // 禁用主機名驗證

            super.prepareConnection(httpsConnection, httpMethod);
        } catch (Exception e) {
            throw new RuntimeException("HTTPS配置失敗", e);
        }
    }

    private static class BlindTrustManager implements X509TrustManager {
        public X509Certificate[] getAcceptedIssuers() { return null; }
        public void checkClientTrusted(X509Certificate[] certs, String authType) {}
        public void checkServerTrusted(X509Certificate[] certs, String authType) {}
    }
}

責任編輯：武曉燕來源：一安未來