39点博客

配置Nginx正向代理让老项目适配Https的TLS高版本

Wed, 10 Jul 2024 11:01:56 +0800

最近生产有个项目访问第三方接口时突然报异常了，查下来是因为对方升级了Https的TLS版本到1.2，不再支持1.0和1.1。

因为是老项目用的还是jdk1.6，默认是不支持的TLS1.2的。代码久远很久没有维护想再升级jdk比较困难，有可能还会导致其他的未知问题。所以想到能否在服务器上配置一个代理来做请求转发，大致思路如下：

说干就干，按步骤实现

第一步：配置服务器上的hosts

修改路径：/etc/hosts，127.0.0.1 localApi，这里的ip是nginx的内网地址，这里是直接在项目服务器上安装了个nginx

第二步：配置nginx正向代理

server {
        # 代理端口
        listen 6789;
        server_name localApi;
        location / {
            # 正向代理配置，根据请求地址自动解析出目标网站地址并进行代理
            proxy_pass https://api.xxxxxxxxxxx.com;
            access_log /var/log/nginx/proxyAccess.log main;
            error_log /var/log/nginx/proxyError.log;
        }
}

第三步：使用curl命令测试

敲击命令：curl http://localApi:6789

收到对方接口正常返回，验证成功。

第四步：修改项目中的接口地址

将原接口地址：https://api.xxxxxxxxxxx.com 修改为：http://localApi:6789

验证：发起业务请求成功收到响应！

至此改造完成。

解决Jmeter压测勾选KeepAlive后请求失败率50%的问题

Thu, 03 Aug 2023 14:18:49 +0800

最近在做接口压力测试的时候发现每次请求失败率都在50%，Jmeter版本5.6，如下图：

刚开始以为是压测服务器资源不够导致应用拒绝链接，然后观察了下执行任务的时候CPU和内存并没有耗尽，于是从应用本身找问题。

该WEB应用是基于Netty构建的，Netty在最外层作为通信网关处理权限验证，权限验证通过后解析URL参数，再根据参数反射调用对应的业务处理类方法。Netty的角色类似Spring MVC中Controller层。

NettyServer的onApplicationEvent方法是很通用的实现，如下图：

尝试加入以下代码支持keep-alive，仍然请求失败，并未起到效果。

childOption(NioChannelOption.)
.childOption(NioChannelOption.(StandardSocketOptions.))
channelPipeline.addLast( "idleCheckHandler", new IdleStateHandler(5,
        5, 5, TimeUnit.SECONDS));

继续查看HttpServerHandler处理类的channelRead(ChannelHandlerContext ctx, FullHttpRequest request)方法，

在代码的末尾处发现如下代码，正常情况下Http请求响应后立即关闭连接逻辑上是没有问题的。但是一般实际应用过程中，web容器都会设置一个keep-alive时长保持连接，超时后服务器再主动关闭该TCP连接，这样会减少客户端和服务器之间的握手次数，短时间内同一客户端向服务器发送多个HTTP请求可以使用同一个TCP连接通道以保证高效通信。

找到问题所在也就好解决了，方法末尾不要立即关闭连接，改用延迟关闭连接。延迟时间参考springBoot中对tomcat的设置，如下：

server.tomcat.keep-alive-timeout=60000 ;保持每个会话活动的不活动毫秒数

server.tomcat.max-keep-alive-requests=100 ;保持活动会话数，默认值为100

软考从中级到高级一次通关心得--高级篇

Sun, 30 Jan 2022 10:36:15 +0800

今天是2021最后一个工作日，闲下来把之前未写完的备考心得给补上。

上半年软考中级考完之后就一直琢磨着再考个高级。高级跟中级“软件设计师”类似的有两个科目：系统分析师和系统架构师。系统分析师是上半年考，下半年考系统架构师，每年都只考一次，所以能选的只有11月份开考的系统架构师。

首先是定制备考策略，分析自身情况，有以下几个阻力：工作日要上班、周末要带娃、没有整块时间、不制定明确目标就会懒散、不想花钱报课。结合以上情况之后决定下来还是跟考中级一样，刷题！高级一共要考3门，上午考选择题，下午考案例分析和论文。因为是11月份考试所以不需要太早备考，我是从8月份开始备考的。下面分别针对这三门考试做简单的分析吧。

首先是选择题，选择题备考是相对简单的，下载一个手机app刷题，每天随机练习10道真题，上下班在地铁上看。这里重要的一点是每天都要坚持，如果某一天有事情耽搁了第二天就要补上，做20题。高级的选择题一小部分知识点和中级是重合的，高级考的会更细。比如mccabe环路复杂度、测试案例的分支覆盖、二叉树和数据结构、数据库知识。还有一些是高级中特有的知识点，如：架构风格、需求管理、嵌入式、架构设计方法等。最后还有5道英语题。总的来说只要刷题足够多，选择题通过还是不难的。上午考试有2个半小时，时间充裕，可以反复检查。

然后是下午的案例分析题，一共5道题，第一题必做，后面4选2.，后面4题中必有一道嵌入式题，无嵌入式专业经验的可以直接放弃。也就是说一共要做3题，每题25分。第一道必做题最近几年主要考的都是系统的6大质量属性：性能、安全性、可用性、可修改性、易用性、可测试性。和系统架构设计风格的比较和分析。后面4选2题中有数据流图、web系统架构设计、数据库和分布式缓存，结合日常工作情况选适合自己的题目。对于有工作经验的同学来说案例分析题并不是很难，但是考试时间有点短，只有一个半小时，考试的时候要把握好时间。

最后是论文，也是难点。大部分考试不通过的都是挂在论文上。首先是考试安排上，上午选择题考完要动脑子废掉了一部分脑细胞，然后下午1:30-3:00又考案例分析，中途只休息20分钟，3:20立马考论文。在考案例分析的时候已经写了很多文字了，论文又要求写作不低于2500字，考试时间只有2个小时。就算一直埋头写，2个小时写2500字也是很紧张的。所以论文一定要提前准备好。论文一共有4道题目，选一个写就可以了。最近几年考的比较多的有架构风格、软件设计方法和应用、系统架构评估、微服务架构设计、软件开发过程等。提前准备3-5篇论文，摘要、核心论点要紧扣论题。考试前需要把准备好的论文手写几遍，注意时间，2500字在2小时内写完。因为我也是第一次考，准备的比较充分，最后以46分险过。

最近几年也确实没什么进步，一直在原地踏步，收获的只有年龄和白头发。考证的主要目的也还是为了落户，高级证可以聘用高级职称，以人才引进的方式落户，但是有个前提条件，需要中级职称满5年，奈何中级证书我还是上半年才考的，只能怪自己意识太晚。

明天就是除夕了，准备收拾收拾办公桌回家过年。明年来的时候再合计下还有哪些事情没有做的，凡事还是要趁早。

软考从中级到高级一次通关心得--中级篇

Thu, 30 Dec 2021 13:25:22 +0800

算了下今年已经是工作的第十个年头了，在IT行业已是“老人”。年初在微信群里闲聊，得知一位朋友在考中级职称。因我刚开始来上海那几年没有办居住证导致持证年限不满7年未达到居转户的条件，所以虽然原先有这个意识但是一直未提上日程。又想了想最近几年除了复制粘贴代码外自身能力也没有得到提升，遂在他的“鼓动”下决定备考中级，为后面的落户做准备。

看了下中级科目，软件设计师较符合程序猿职业报考，于是报考了21年5月份的考试。考试分上午选择题和下午简答题，各75分，上午题是75个选择题，下午是5道简答题每题15分，需要2门同时满足45分以上算通过。了解清楚考试规则后，接下来就是制定备考方案和计划了。首先分析自身的优缺点再去制定计划，我是属于很懒散的人，看书看视频复习是不适合我，我也没有这个毅力和整块时间去看书看视频。所以我的策略是刷题并严格执行备考计划。提前3个月准备，第一个月每天看10道选择题，手机下网上载刷题app，上下班地铁上看一下，这对于刚开始备考的同学是很重要的，因为工作久了就很难进入系统性的复习和备考习惯，这第一个月算是预热期，每天10道选择题也就20-30分钟的事情是很容易坚持下来的。第二个月除了每天10道选择题之外再加上每2天做一道下午简答题，复习时间也由原先的每天20-30分钟上升到30-50分钟。最后一个月临近考试了需要将最近5年的真题找出来做一遍。最终算了一下总共大概做了1000道选择和80道简答题，换算下来是15套上午卷和15套下午卷。

对于像我这样工作久了很久没有碰书本的人来说，重新把知识拾起来再系统性的复习一遍并不像网上说的那样简单，考试的内容很多也并非工作上常用的。上午的选择题涉及的知识面较广，有计算机组成原理、排序算法、海明码、mccabe、二叉树哈夫曼树、各种测试方法的覆盖范围、网络基础知识等等。对了，上午题还有5道英语选择题（阅读理解）。要结合自身情况做一些取舍，比如我觉得英语题一时半会也没法显著提升，复习阶段就放弃了英语题目的备考。

下午简答题前面4道题是必答题，后面一道JAVA题目和C++题二选一，每题15分。第一题是考的是数据流图，要求补全图上的各个实体、加工、数据存储以及确实的数据流的起点和终点，这一题相对来说不是太难。第二题是数据库题，考关系模式、主外键、三范式以及找缺失的联系和联系类型，对于工作经验丰富的“老鸟”来说这一题平时工作上都会用到，稍加复即可。第三题一般考用例图，需要填写参与者、各用例名称、类名等。第四题是最难的，考C语言算法，这一题是难点，每年考的内容也无迹可寻，基于这一点我在备考的时候直接放弃了，考试的时候临场发挥看运气了，我估摸着大概也就拿了3分左右吧~。最后一题是C++和Java题二选一，这对于从事这两种语言开发的小伙伴来说是稳稳的送分题。相比于上午选择题，下午的简答题是难点，其中第四题C语言算法题是难点中的难点，如果这一题没有把握，那另外四道题目势必要拿高分才能过关。

说了这么多，实际上最终我也才考了52/45分，算是极限通过，但对于好多年未碰过书本并专注于CTRL+C和CTRL+V多年的程序老鸟来说通过即是一种安慰。

考过了中级，对自身就稍微有了点信心，就琢磨着趁热打铁，再一鼓作气争取拿下高级。后面有时间再单独写一篇高级的备考心得，这篇就到先到这里了~

最后附上几张中级备考的草稿证明复习过，以后闲下来的时候也可以回过头来看一看~

CentOS安装docker并配置镜像加速器

Sun, 04 Jul 2021 09:20:13 +0800

1. 安装／升级Docker客户端

# step 1: 安装必要的一些系统工具
sudo yum install -y yum-utils device-mapper-persistent-data lvm2
# Step 2: 添加软件源信息
sudo yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
# Step 3: 更新并安装 Docker-CE
sudo yum makecache fast
sudo yum -y install docker-ce
# Step 4: 开启Docker服务
sudo systemctl start docker
# Step 5: 设置开机启动
sudo systemctl enable docker

2. 配置镜像加速器

通过修改daemon配置文件/etc/docker/daemon.json来使用加速器

sudo mkdir -p /etc/docker
sudo tee /etc/docker/daemon.json <<-'EOF'
{
  "registry-mirrors": ["https://y6tra9hx.mirror.aliyuncs.com"]
}
EOF
sudo systemctl daemon-reload
sudo systemctl restart docker

RabbitMQ消息幂等性问题

Thu, 11 Mar 2021 13:56:17 +0800

1. 什么是幂等性？

在编程中一个幂等操作的特点是其任意多次执行所产生的影响均与一次执行的影响相同。

HTTP方法的幂等性是指一次和多次请求某一个资源应该具有同样的副作用。幂等性属于语义范畴，正如编译器只能帮助检查语法错误一样，HTTP规范也没有办法通过消息格式等语法手段来定义它。

简之：一个请求，不管重复来多少次，结果是不会改变的。

1.1 消息队列的幂等性

如同HTTP方法的幂等性，消息队列同样会出现幂等性问题。

消费者在消费 MQ 中的消息时，MQ 已把消息发送给消费者，消费者在给 MQ 返回 ack 时网络中断，故 MQ 未收到确认信息，该条消息会重新发给其他的消费者，或者在网络重连后再次发送给该消费者，但实际上该消费者已成功消费了该条消息，造成消费者消费了重复的消息；注意，RabbitMQ 这种消息重试(补偿)机制是默认的。

所以，MQ 消费者的幂等性问题，主要在于 MQ 的重试机制，因为网络原因或客户端延迟消费导致重复消费。

那么，如何合适选择重试机制？我们来看两种情况。

情况1： 消费者获取到消息后，调用第三方接口，但接口暂时无法访问，是否需要重试?

需要重试

情况2： 消费者获取到消息后，抛出数据转换异常，是否需要重试?

不需要重试

总结：对于情况2，如果消费者代码抛出异常是需要发布新版本才能解决的问题，那么不需要重试，重试也无济于事。应该采用日志记录+定时任务 job 健康检查+人工进行补偿

1.2 模拟重试机制

我们采用一种短信消费者客户端异常的情况来模拟 RabbitMQ 的重试机制。

@RabbitListener(queues = "fanout_sms_queue")public void process(String msg) {
    System.out.println("短信消费者获取生产者消息msg:" + msg);
    int i = 1/0;
}

如上代码，很显然会报错，一担报错生产者的消息时不会被消费的？

@RabbitListener 底层使用 AOP 进行异常通知拦截，如果程序没有抛出异常信息，那么就会自动提交事务；如果 AOP 异常通知拦截有捕获到异常信息的话，就会自动实现重试(补偿)机制，同时，这个补偿机制的消息会缓存到 RabbitMQ 服务器端进行存放，一直重试到不抛出异常为止。

1.2.1 生产者代码

@Componentpublic class FanoutProducer {

    @Autowired    private AmqpTemplate amqpTemplate;

    /**
     * 发送消息
     *
     * @param queueName 队列名称
     */    public void send(String queueName) {
        String msg = "my_fanout_msg:" + System.currentTimeMillis();
        Message message = MessageBuilder
                        .withBody(msg.getBytes())
                        .setContentType(MessageProperties.CONTENT_TYPE_JSON)
                        .setContentEncoding("utf-8")
                        .setMessageId(UUID.randomUUID() + "")
                        .build();
        System.out.println(msg + ":" + msg);
        amqpTemplate.convertAndSend(queueName, message);
    }
}

1.2.2 消费者代码

@Componentpublic class FanoutEamilConsumer {

    @RabbitListener(queues = "fanout_eamil_queue")    public void process(Message message) throws Exception {
        String revMessage = Thread.currentThread().getName() 
                + ",邮件消费者获取生产者消息msg:" 
                + new String(message.getBody(), "UTF-8")
                + ",messageId:" + message.getMessageProperties().getMessageId();
        System.out.println(revMessage);
    }
}

1.2.3 消费者 application.yml 配置

spring:
  rabbitmq:
  ####连接地址    host: 127.0.0.1   ####端口号       port: 5672   ####账号     username: guest
   ####密码      password: guest
   ### 地址    virtual-host: /admin_host
    listener:
      simple:
        retry:
          ####开启消费者重试          enabled: true          ####最大重试次数          max-attempts: 5          ####重试间隔次数          initial-interval: 3000server:
  port: 8081

我们通过 RabbitMQ 配置，增加了 RabbitMQ 重试时间以及重试次数限制，在一定程度上解决了重复消费的问题，接下来看一道常问的面试题。

2. 如何保证消息幂等性，不被重复消费？

其实，这个问题也算是 MQ 面试当中经常考察的一点，因为无论是什么 MQ 都会有这个问题。

首先通过上边我们了解了什么是“幂等性”，以及 MQ 幂等性问题的产生，所以我们要清楚为什么会出现重复性消费？在什么场景会出现重复消费？

解决方法

使用全局 MessageID 判断消费方使用同一个，解决幂等性问题。
或者使用业务逻辑保证唯一（比如订单号码）

生产者关键代码：

@Autowiredprivate AmqpTemplate amqpTemplate;/**
 * 发送消息
 *
 * @param queueName 队列名称
 */public void send(String queueName) {
    String msg = "my_fanout_msg:" + System.currentTimeMillis();
    Message message = MessageBuilder
                    .withBody(msg.getBytes())
                    .setContentType(MessageProperties.CONTENT_TYPE_JSON)
                    .setContentEncoding("utf-8")
                    .setMessageId(UUID.randomUUID() + "")
                    .build();
    System.out.println(msg + ":" + msg);
    amqpTemplate.convertAndSend(queueName, message);
}

如上，生产者在发送消息时（convertAndSend），给消息对象设置了唯一的 MessageID，只有该 MessageID 没有被消费者标记方能在重试机制中再次被消费。

消费者关键代码：

@RabbitListener(queues = "fanout_eamil_queue")public void process(Message message) throws Exception {
    String revMessage = Thread.currentThread().getName()
            + ",邮件消费者获取生产者消息msg:"            + new String(message.getBody(), "UTF-8")
            + ",messageId:" + message.getMessageProperties().getMessageId();
    System.out.println(revMessage);
    发送邮件的逻辑XXX
}

如上，通过 message.getMessageProperties().getMessageId() 获取 MessageID，获取的 MessageID 可以用来判断是否已经被消费者消费过了，如果已经消费则取消再次消费。

通常怎么判断呢？

比如上方是一个邮件发送的消费者，在做补偿时，假如上一步邮件发送成功了，我们会把该 ID 存至 redis中，下次再调用时，先去 redis 判断是否存在该 ID 了，如果存在表明已经消费过了则直接返回，不再消费，否则消费，然后将记录存至 redis。

Centos6系统yum无法使用-最新解决办法

Thu, 31 Dec 2020 11:33:16 +0800

一、`CentOS6`停止维护更新日期2020年11月30日

二、2020年12月2日下架了包括官方所有的`CentOS6`源（包括国内的镜像站）

三、`CentOS6`也完成了它的历史使命

在生产的环境中依旧由很多CentOS6系统依然在坚持，那么可以采取挂载光盘或者使用centos-vault源安装软件包，这里挂载光盘的方式不做讲述。1

四、使用`centos-vault`作为更新源

1.官方地址

#阿里云http://mirrors.aliyun.com/centos-vault/#官方https://vault.centos.org/#阿里云和官方的任选其一即可1234567

2.使用阿里云centos-vault源

vi /etc/yum.repos.d/CentOS-Base.repo# CentOS-Base.repo## The mirror system uses the connecting IP address of the client and the# update status of each mirror to pick mirrors that are updated to and# geographically close to the client.  You should use this for CentOS updates# unless you are manually picking other mirrors.## If the mirrorlist= does not work for you, as a fall back you can try the# remarked out baseurl= line instead.##[base]name=CentOS-6.10 - Base - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos-vault/6.10/os/$basearch/
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos-vault/RPM-GPG-KEY-CentOS-6#released updates[updates]name=CentOS-6.10 - Updates - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos-vault/6.10/updates/$basearch/
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos-vault/RPM-GPG-KEY-CentOS-6#additional packages that may be useful[extras]name=CentOS-6.10 - Extras - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos-vault/6.10/extras/$basearch/
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos-vault/RPM-GPG-KEY-CentOS-6#additional packages that extend functionality of existing packages[centosplus]name=CentOS-6.10 - Plus - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos-vault/6.10/centosplus/$basearch/
gpgcheck=1
enabled=0
gpgkey=http://mirrors.aliyun.com/centos-vault/RPM-GPG-KEY-CentOS-6#contrib - packages by Centos Users[contrib]name=CentOS-6.10 - Contrib - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos-vault/6.10/contrib/$basearch/
gpgcheck=1
enabled=0
gpgkey=http://mirrors.aliyun.com/centos-vault/RPM-GPG-KEY-CentOS-61234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253

3.使用官方centos-vault源

vi /etc/yum.repos.d/CentOS-Base.repo# CentOS-Base.repo## The mirror system uses the connecting IP address of the client and the# update status of each mirror to pick mirrors that are updated to and# geographically close to the client.  You should use this for CentOS updates# unless you are manually picking other mirrors.## If the mirrorlist= does not work for you, as a fall back you can try the# remarked out baseurl= line instead.##[base]name=CentOS-6.10 - Base - vault.centos.org
failovermethod=priority
baseurl=http://vault.centos.org/6.10/os/$basearch/
gpgcheck=1
gpgkey=http://vault.centos.org/RPM-GPG-KEY-CentOS-6#released updates[updates]name=CentOS-6.10 - Updates - vault.centos.org
failovermethod=priority
baseurl=http://vault.centos.org/6.10/updates/$basearch/
gpgcheck=1
gpgkey=http://vault.centos.org/RPM-GPG-KEY-CentOS-6#additional packages that may be useful[extras]name=CentOS-6.10 - Extras - vault.centos.org
failovermethod=priority
baseurl=http://vault.centos.org/6.10/extras/$basearch/
gpgcheck=1
gpgkey=http://vault.centos.org/RPM-GPG-KEY-CentOS-6#additional packages that extend functionality of existing packages[centosplus]name=CentOS-6.10 - Plus - vault.centos.org
failovermethod=priority
baseurl=http://vault.centos.org/6.10/centosplus/$basearch/
gpgcheck=1
enabled=0
gpgkey=http://vault.centos.org/RPM-GPG-KEY-CentOS-6#contrib - packages by Centos Users[contrib]name=CentOS-6.10 - Contrib - vault.centos.org
failovermethod=priority
baseurl=http://vault.centos.org/6.10/contrib/$basearch/
gpgcheck=1
enabled=0
gpgkey=http://vault.centos.org/RPM-GPG-KEY-CentOS-61234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253

4.替换CentOS-Base.repo文件内容后清除下缓存

yum clean all && yum makecache1

五、那么如何使用`epel`源

1.官方地址

https://archives.fedoraproject.org/pub/archive/epel/1

2.下载安装epel源

#下载epel源wget https://archives.fedoraproject.org/pub/archive/epel/6/x86_64/epel-release-6-8.noarch.rpm#安装epel源rpm -ivh epel-release-6-8.noarch.rpm#清除下缓存yum clean all && yum makecache

解决 javax.net.ssl.SSLPeerUnverifiedException: peer not authenticated 问题

Tue, 17 Mar 2020 11:47:05 +0800

问题症状

最近把一部分服务迁移到用 rancher 管理的容器集群环境里面去了，感觉还是不错的，而且 rancher 里自带的负载均衡是 haproxy，配置上域名证书后由 haproxy 来负责 https 的处理，后端就不用配 https 了。服务跑起来之后，在日志中发现出现类似下面错误：

javax.net.ssl.SSLPeerUnverifiedException: peer not authenticated

出现地方是在用 HttpClient 请求我们自己的 https 域名时报错，看起来是域名的证书没法验证通过。

问题初探

网上搜索了之后发现有很多相关的内容，但是很多都是因为访问自签名证书的域名而产生的问题，给出的方案都是在代码里取消了对域名证书的验证。而我们的域名签名是有效的，不应该会出现这种问题，我们也不需要为了解决自签名证书去取消验证，所以药不对症，得继续寻找答案。

本地调试

用 HttpClient 在本地写了简单的测试代码运行，发现同样报错，缩小了问题范围。关键点：设置 System.setProperty("javax.net.debug", "ssl"); 打开 ssl 的调试信息，可以获得相当多关键信息。在我的代码里，出错信息如下：

handling exception: javax.net.ssl.SSLHandshakeException:Remote host closed connection during handshake

网上搜索了之后逐渐发现了关键问题所在：域名证书是正常的，但 SSL 握手失败，判断是 JDK 使用的 SSL 协议和加密算法与我们的 WebServer 不匹配。

SSL Server 兼容性检查

这里要祭出一个强力法器了 https://www.ssllabs.com/ssltest/ 这个工具可以对域名的证书做详细的检查，更实用的功能是可以反馈各种 User Agent 访问的可用性，把我们的域名丢进去检测一下，得分 A 还不错，再仔细看看下面的列表…jdk6 jdk7 都显示无法连接…简直是个大悲剧。

谜底揭晓

这里涉及到 HTTPS 的几个概念，Protocols 和 Cipher Suites。一般来说，在给网站或应用做 SSL 加密时，Protocol 有以下几种：TLS1.2、TLS1.1、TLS1.0、SSLv3、SSLv2。不同的协议下使用的 Cipher Suites 也有不同。SSLv3 和 SSLv2由于前两年被爆出的严重安全漏洞，目前已经被认为不适合使用了，稍微新一点的 webserver 默认都是关闭这两项的，关键在于 TLS1.0。通过上面那个检查 SSL 的网站发现我们的服务器（即 rancher 中的 haproxy），是只支持了 TLS1.2 和 TLS1.1 这两项的，实际上这也是现代服务器的推荐配置。

重点来了！ jdk6 默认是只支持 TLS1.0 的，jdk7 支持 TLS1.1 和 TLS1.2 但是默认是不开启的，只有 jdk8 才默认选择最高的 TLS1.2。所以，只要是运行在 jdk6 和 jdk7 上，就有可能遇到这种问题。并且，我尝试了在 jdk7 中开启 TLS1.1 和 TLS1.2 的支持，但还是同样的错误，发现可能是由于我们的证书支持的 Cipher Suites 和 jdk7 中支持的对不上，还是验证失败。

解决方案

到这里怎么解决问题就比较清楚了，可以将部署了应用的 jetty 容器升级到 jdk8 的环境，继续使用 TLS1.2、TLS1.1 的配置组合即可。但是这样实际上还是放弃了对一部分旧 user agent 的支持，从上面那个检查的列表中来看，Android4.4 以下都是默认只支持 TLS1.0 的，所以出于更好的访问兼容性，还是打开对 TLS1.0 的支持比较好。

配置 Nginx支持 TLS1.0

修改nginx配置

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_ciphers AESGCM:ALL:!DH:!EXPORT:!RC4:+HIGH:!MEDIUM:!LOW:!aNULL:!eNULL;

ssl_prefer_server_ciphers on;

【国密SM2算法】创建密钥对、通过base64密钥串生成PublicKey和PrivateKey

Tue, 03 Mar 2020 17:29:34 +0800

一：创建密钥对

System.out.println("----------生成秘钥对start----------------");
// 引入BC库
Security.addProvider(new BouncyCastleProvider());
// 获取SM2椭圆曲线的参数
final ECGenParameterSpec sm2Spec = new ECGenParameterSpec("sm2p256v1");
// 获取一个椭圆曲线类型的密钥对生成器
final KeyPairGenerator kpg = KeyPairGenerator.getInstance("EC", new BouncyCastleProvider());
// 使用SM2参数初始化生成器
kpg.initialize(sm2Spec);
// 使用SM2的算法区域初始化密钥生成器
kpg.initialize(sm2Spec, new SecureRandom());
// 获取密钥对
KeyPair keyPair = kpg.generateKeyPair();
PublicKey pk = keyPair.getPublic();
PrivateKey privk= keyPair.getPrivate();
System.out.println("公钥串："+new BASE64Encoder().encode(keyPair.getPublic().getEncoded()));
System.out.println("私钥串："+new BASE64Encoder().encode(keyPair.getPrivate().getEncoded()));
System.out.println("公钥对象："+pk);
System.out.println("----------生成秘钥对end----------------");

二：解析公钥串生成publickey

        System.out.println("------通过公钥串获取对象------");
        // 引入BC库
        Security.addProvider(new BouncyCastleProvider());
        String base64String =
"MFkwEwYHKoZIzj0CAQYIKoEcz1UBgi0DQgAELTzwAJ1gWaUoBTm56qEKDwbwVlqMH8FSVqe2zfgajYK3w5gkq5MJAij3lODus99nWl/a9GnZC0HMC0Notc/RAw==";
        byte[] publicBytes = new BASE64Decoder().decodeBuffer(base64String);
        X509EncodedKeySpec eks = new X509EncodedKeySpec(publicBytes);
        KeyFactory kf = KeyFactory.getInstance("EC", BouncyCastleProvider.PROVIDER_NAME);
        ECPublicKey bce2 = (BCECPublicKey) kf.generatePublic(eks);
        System.out.println(java.util.Base64.getEncoder().encodeToString(bce2.getEncoded()));
        System.out.println(hex16(publicBytes));

三：解析私钥串生成privatekey

         System.out.println("------通过私钥串获取对象------");
        // 引入BC库
        Security.addProvider(new BouncyCastleProvider());
        String  prvString =
            "MIGTAgEAMBMGByqGSM49AgEGCCqBHM9VAYItBHkwdwIBAQQgL5WougHVEKajECwDbW38fiDJMStq\n" +
            "Bn3VwxPxhZZPqvegCgYIKoEcz1UBgi2hRANCAASZZ6IKukES6ICKJYwZ9KeiUnMvJudW4+tyn2fl\n" +
            "xMMg0Urq8abPxXnIWGhIQvvjJZS/EcWwvKQQirzA7NVq4LYe";
        byte[] prvBytes22 = new BASE64Decoder().decodeBuffer(prvString);
        PKCS8EncodedKeySpec eks2 = new PKCS8EncodedKeySpec(prvBytes22);
        KeyFactory kf22= KeyFactory.getInstance("EC", BouncyCastleProvider.PROVIDER_NAME);
        PrivateKey pvk= kf22.generatePrivate(eks2);
        BCECPrivateKey bpve = (BCECPrivateKey) pvk;
        System.out.println("私钥："+ bpve.getS()+":::16hex:::"+bpve.getS().toString(16));
        System.out.println(hex16(prvBytes22));
        bpve.getEncoded();
        System.out.println(hex16(bpve.getEncoded()));
        System.out.println(pvk);

【国密SM2算法】通过公钥坐标XY获取PublicKey对象的两种方法

Tue, 03 Mar 2020 11:42:15 +0800

已知公钥坐标

X：B5F2DC9B2C5EFB3329FE07FE3AE7D816E95CBECAFDD7F9E5D2AA73EC04C6C332

Y：7F87AAEB592B531B668DE5C0D56B73D50D2C3102C2C0549A08E765A0B5D05DBE

方法一

BigInteger X=new BigInteger("B5F2DC9B2C5EFB3329FE07FE3AE7D816E95CBECAFDD7F9E5D2AA73EC04C6C332",16);

BigInteger Y=new BigInteger("7F87AAEB592B531B668DE5C0D56B73D50D2C3102C2C0549A08E765A0B5D05DBE",16);

Security.addProvider(new org.bouncycastle.jce.provider.BouncyCastleProvider()); //载入bc库的支持

ECNamedCurveParameterSpec spec = ECNamedCurveTable.getParameterSpec("sm2p256v1"); //获取bc库内置曲线参数，曲线名称sm2p256v1

ECDomainParameters ecDomainParameters = new ECDomainParameters(spec.getCurve(),spec.getG(), spec.getN());

KeyFactory keyFactory= KeyFactory.getInstance("EC", BouncyCastleProvider.PROVIDER_NAME);

ECCurve ecurve = ecDomainParameters.getCurve(); //获取曲线对象

ECPoint q = ecurve.createPoint(X,Y); //创建公钥点

ECParameterSpec ecps = new ECParameterSpec(ecurve,ecDomainParameters.getG(),ecDomainParameters.getN());

ECPublicKeySpec keySpec = new ECPublicKeySpec(q, ecps);

PublicKey pk= (ECPublicKey) keyFactory.generatePublic(keySpec);

方法二