<think>好的，用户现在遇到了两个问题：SSL证书验证失败和连接被拒绝的错误。我需要结合之前的对话和提供的引用资料来给出解决方案。
首先，用户之前的问题是关于连接到127
.0
.0
.1
:7897被拒绝，现在又遇到了SSL证书的问题。可能用户是在尝试连接华为的服务器时遇到了这些错误，比如在集成华为的AGConnect插件或访问其Maven仓库时。
先看看SSL证书错误。根据引用[1]和[3]，SSLPeerUnverifiedException通常是因为证书的主机名不匹配。可能用户访问的URL实际解析的IP或
域名与证书中的
Subject Alternative Names（SAN）不匹配。比如，用户可能配置了代理，导致
请求被重定向到错误的地址，或者DNS解析有问题。
另外，引用[3]和[4]提到两种解决方法：一种是将正确的
域名添加到信任列表，另一种是忽略证书验证。不过忽略证书验证不安全，只适合测试环境。用户可能需要检查他们的代理设置是否正确，或者是否直接访问了正确的URL。
接下来是连接被拒绝的问题，可能和之前的代理配置有关。用户可能在之前的解决方案中关闭了代理，但现在又出现了新的问题，或者SSL错误导致连接未能建立。需要确认端口监听情况，比如华为的仓库是否使用正确的端口，或者是否有防火墙阻挡了连接。
需要综合这两个问题。可能用户在尝试连接时，由于代理配置错误，导致
请求被
发送到错误的地址，从而触发了SSL证书错误，或者因为连接被拒绝而无法建立SSL连接。需要分步骤排查：先解决连接问题，再处理SSL证书问题。
可能的解决方案步骤包括检查代理配置、验证网络连通性、检查证书是否正确、以及必要时调整SSL验证设置。需要确保用户使用的URL是正确的，并且证书中的SAN包含该
域名。如果用户使用IP地址访问，而证书只绑定了
域名，就会引发此错误。建议用户使用正确的
域名访问，并检查证书信息。
此外，用户可能需要更新证书或配置信任库，特别是在使用自签名证书时。如果问题依然存在，可能需要联系华为开发者支持，确认其证书配置是否正确。
最后，需要提醒用户忽略证书验证的风险，仅作为临时解决方案，生产环境中应使用有效证书。</think>### SSL证书验证失败与连接被拒绝的综合解决方案
#### 一、问题关联性分析
根据引用[^1][^3][^4]，`SSLPeerUnverifiedException`和连接拒绝错误通常形成因果关系：
1
. **证书验证失败**导致连接无法建立，最终触发`Connection refused`
2
. **代理配置残留**使
请求错误路由到`127
.0
.0
.1
:7897`，而该端口无有效SSL证书
#### 二、分阶段排查流程
**阶段1：基础环境验证**
```bash
# 验证DNS解析（必须匹配证书SAN）
nslookup developer
.huawei
.com
# 测试原始连接（跳过代理）
curl -vk
https://developer
.huawei
.com/repo/
```
- **关键指标**：检查`CN`和`
Subject Alternative Name`是否包含`developer
.huawei
.com`
- **典型异常**：若返回IP地址与证书
域名不匹配，需进入阶段2
**阶段2：证书深度检查**
```java
// 通过Java代码提取证书信息
SSLContext sslContext = SSLContext
.getInstance("TLS");
sslContext
.init(null, new TrustManager[]{new X509TrustManager() {
public void checkClientTrusted(X509
Certificate[] chain, String authType) {}
public void checkServerTrusted(X509
Certificate[] chain, String authType) {
System
.out
.println("
Subject: " + chain[0]
.get
SubjectX500Principal());
System
.out
.println("SAN
: " + chain[0]
.get
SubjectAlternativeNames());
}
public X509
Certificate[] getAcceptedIssuers() { return new X509
Certificate[0]; }
}}, null);
```
- **预期输出**：证书SAN列表应包含
请求的
域名[^3]
**阶段3：代理配置清除**
```gradle
// 检查gradle
.properties中的残留配置
grep -E "http
.proxy|
https.proxy" gradle
.properties
// 清除Maven代理配置
sed -i '' '/<proxies>/,/<\/proxies>/d' ~/
.m2/settings
.xml
```
#### 三、安全解决方案（生产环境推荐）
**方案1：证书强制验证模式**
```java
// 创建白名单验证器
SSLConnectionSocketFactory sslsf = new SSLConnectionSocketFactory(
SSLContexts
.custom()
.loadTrustMaterial(trustStore)
.build(),
new HostnameVerifier() {
@Override
public boolean verify(String hostname, SSLSession session) {
return hostname
.equals("developer
.huawei
.com") ||
hostname
.endsWith("
.huawei
.com");
}
}
);
```
**优势**：精确控制可信
域名，避免完全禁用验证[^4]
**方案2：证书链修复（针对华为特定案例）**
```bash
# 下载华为最新根证书
keytool -importcert -alias huawei-root -file HuaweiRootCA
.crt \
-keystore $JAVA_HOME/lib/security/cacerts -storepass changeit
```
#### 四、临时解决方案（仅限开发环境）
```java
// 使用Apache
HttpClient的安全绕过配置
Closeable
HttpClient client =
HttpClients
.custom()
.setSSLHostnameVerifier(NoopHostnameVerifier
.INSTANCE)
.setSSLContext(SSLContexts
.custom()
.loadTrustMaterial(null, (chain, authType) -> true)
.build())
.build();
```
**风险提示**：此配置将禁用所有SSL验证，仅用于紧急调试[^3][^4]
#### 五、网络层联合排查
1
. **抓包分析TCP握手**
```bash
tcpdump -i
any -vvv 'host developer
.huawei
.com and (tcp port 443 or tcp port 7897)'
```
- 检查`SYN`包是否发往正确IP
- 验证是否出现`RST`包（表明防火墙拦截）
2
. **证书链完整性验证**
```bash
openssl s_client -connect developer
.huawei
.com
:443 -showcerts
```
- 确认中间证书完整
- 检查证书过期时间
---
### 相关问题
1
. 如何在不同构建工具（Gradle/Maven）中安全配置SSL证书？
2
. 企业内网环境下如何正确部署自签名证书？
3
. HTTP客户端如何实现动态
域名白名单验证？
4
. 如何通过Wireshark诊断SSL/TLS握手失败问题？
本文详细记录了使用server酱-PushBear和apacheHttpClient进行https请求时遇到的javax.net.ssl.SSLException错误，该错误源于HttpClient4.4.1版本的bug。文章分享了从代码层面修复此问题的有效方法，并提供了关键代码截图，帮助遇到相同问题的开发者快速定位并解决问题。
扫一扫
3144
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
