调用HTTPS接口时常见的证书问题
在开发过程中，调用第三方HTTPS接口是家常便饭。但有时候，程序跑得好好的，突然报出“证书不受信任”或“SSL handshake failed”这类错误，让人一头雾水。尤其是在测试环境没问题，一上生产就出事，多半是证书搞的鬼。
比如某次对接支付接口，本地调试一切正常，可部署到服务器后直接连不上，日志里清清楚楚写着：javax.net.ssl.SSLHandshakeException。翻来查去，原来是服务器JDK的信任库没包含该接口用的根证书。
证书链不完整
很多网站为了节省带宽，只返回自己的证书，没把中间CA证书带上。客户端如果没缓存中间证书，验证就会失败。这种情况浏览器可能自动补全了，但你的Java程序、Python脚本就不会那么智能。
可以用命令检查：
openssl s_client -connect api.example.com:443 -showcerts自签名证书或私有CA
公司内部系统经常用自签名证书或私有CA签发的证书。这种证书公网不认，调用时必须手动把证书导入到客户端的信任库。
以Java为例，需要使用keytool导入：
keytool -import -alias myapi -file /path/to/ca.crt -keystore $JAVA_HOME/jre/lib/security/cacerts默认密码是changeit。导入后重启应用，通常就能解决问题。
Python中的requests请求报错
用requests库时如果遇到InsecureRequestWarning，别急着加verify=False。虽然能临时绕过，但会失去SSL保护，相当于把门锁拆了。
正确做法是指定证书路径：
requests.get('https://api.example.com', verify='/path/to/ca-bundle.crt')或者把证书加入系统的证书包，在Linux上一般是/usr/local/share/ca-certificates/下放.crt文件，再执行update-ca-certificates。
时间不同步也会导致证书失败
证书是有有效期的。如果服务器时间比实际快了几个月，哪怕证书还没过期，系统也会认为它“未生效”或“已过期”。之前有个案例，客户现场服务器BIOS电池没电，时间跳回2000年，所有HTTPS请求全部失败，排查半天才发现是时间问题。
确保NTP同步开启：
systemctl enable ntpd && systemctl start ntpd忽略证书不是长久之计
开发阶段为了省事，很多人会写代码跳过证书验证。比如Java里自定义TrustManager返回true，Python里verify=False，Android上重写HostnameVerifier。这些操作在上线后就是安全隐患，容易被中间人攻击。
真正的解决办法是搞清楚证书来源，正确配置信任链，而不是一味绕过。毕竟，安全不是用来妥协的。