Java 连接 Elasticsearch 8.x 安全模式：证书校验与 ApiKey 认证

2. 完整代码实现

请将 ES 生成的 http_ca.crt 证书文件放入项目资源目录下的 certs/ 文件夹中，以便代码正常连接。

import co.elastic.clients.elasticsearch.ElasticsearchClient;
import co.elastic.clients.json.jackson.JacksonJsonpMapper;
import co.elastic.clients.transport.ElasticsearchTransport;
import co.elastic.clients.transport.rest_client.RestClientTransport;
import org.apache.http.HttpHost;
import org.apache.http.conn.ssl.NoopHostnameVerifier;
import org.apache.http.impl.client.HttpClientBuilder;
import org.apache.http.message.BasicHeader;
import org.apache.http.ssl.SSLContexts;
import org.elasticsearch.client.RestClient;
import org.elasticsearch.client.RestClientBuilder;
import org.springframework.stereotype.Component;

import javax.net.ssl.SSLContext;
import java.io.InputStream;
import java.security.KeyStore;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

@Component
public class ElasticClientApplication {
    String serverUrl = "https://192.168.0.100:9200";
    String apiKey = "WmdoVHJwd0I2NE50W........";
    String caPath = "certs/http_ca.crt";

    public ElasticsearchClient getEsClient() {
        try {
            InputStream caInput = Thread.currentThread().getContextClassLoader().getResourceAsStream(caPath);
            // 2. 解析证书
            CertificateFactory factory = CertificateFactory.getInstance("X.509");
            X509Certificate caCert = (X509Certificate) factory.generateCertificate(caInput);
            caInput.close();
            KeyStore trustStore = KeyStore.getInstance("pkcs12");
            trustStore.load(null, null);
            trustStore.setCertificateEntry("es-ca", caCert);
            SSLContext sslContext = SSLContexts.custom()
                    .loadTrustMaterial(trustStore, null)
                    .build();
            RestClientBuilder builder = RestClient.builder(HttpHost.create(serverUrl))
                    .setDefaultHeaders(new org.apache.http.Header[]{
                            new BasicHeader("Authorization", "ApiKey " + apiKey)
                    })
                    .setHttpClientConfigCallback(httpClientBuilder -> httpClientBuilder
                            .setSSLContext(sslContext)
                            .setSSLHostnameVerifier(NoopHostnameVerifier.INSTANCE));
            RestClient restClient = builder.build();
            // 6. 创建高层客户端
            ElasticsearchTransport transport = new RestClientTransport(restClient, new JacksonJsonpMapper());
            return new ElasticsearchClient(transport);
        } catch (Exception e) {
            System.err.println(">>> ES 客户端初始化失败");
            e.printStackTrace();
            throw new RuntimeException("ES Client 初始化失败", e);
        }
    }
}

三、关键技术点深度解读

1. 证书的处理逻辑 (CertificateFactory & KeyStore)

代码中最关键的部分在于手动构建 TrustStore。

• 为什么不能直接用？ Java 默认的 cacerts 只信任公共 CA（如 DigiCert, Let's Encrypt）。ES 自签名的 CA 不在其中。
• 做法：我们创建了一个内存中的 KeyStore (pkcs12 类型)，将读取到的 http_ca.crt 作为一个受信任的条目放进去。
• SSLContext：通过 SSLContexts.custom().loadTrustMaterial(trustStore, null)，告诉 JVM：'除了系统默认信任的证书外，请额外信任这个 trustStore 里的证书'。

2. 关于 NoopHostnameVerifier 的风险

代码中使用了 .setSSLHostnameVerifier(NoopHostnameVerifier.INSTANCE)。

• 作用：跳过主机名验证。即使证书是发给 localhost 或 node-1 的，而你通过 IP 192.168.0.189 访问，也不会报错。
• 风险：这在开发环境非常方便，可以避免修改证书 SAN (Subject Alternative Name) 的麻烦。但在生产环境，这会使你面临中间人攻击（MITM）的风险。
• 最佳实践：在生产环境中，应确保证书的 CN 或 SAN 包含实际访问的域名或 IP，并移除 NoopHostnameVerifier，使用默认的严格验证。

3. ApiKey 认证

代码使用了 Authorization: ApiKey ... 头。

• 优势：ApiKey 可以设置权限范围（Role）和过期时间，比直接使用 elastic 超级用户的明文密码更安全，也便于轮换。
• 生成方式：可以通过 Kibana Dev Tools 调用 POST /_security/api_key 生成，或在命令行使用 elasticsearch-cli 生成。

四、常见问题排查 (Troubleshooting)

Q1: 报错 PKIX path building failed 或 unable to find valid certification path

• 原因：JVM 不信任 ES 的证书。
• 检查：
  1. 确认 caPath 路径是否正确，文件是否真的存在于 resources/certs/ 下。
  2. 确认代码中是否成功执行了 trustStore.setCertificateEntry。
  3. 如果是多节点集群，确保使用的是正确的 HTTP CA 证书（不是 Transport 证书）。

Q2: 报错 HostnameVerifier 相关错误

• 原因：证书中的域名与实际访问的 URL 不匹配。
• 解决：
  • 临时方案：保留代码中的 NoopHostnameVerifier.INSTANCE。
  • 永久方案：重新生成 ES 证书，在 elasticsearch.yml 或证书生成命令中指定 IP 地址作为 SAN。

Q3: 401 Unauthorized

• 原因：ApiKey 错误或过期，或者未开启 Security 功能（但 8.x 默认开启）。
• 检查：
  1. 确认 ApiKey 字符串没有多余的空格或换行。

在 Kibana Dev Tools 中测试该 Key 是否有效：

GET /_security/_authenticate
Authorization: ApiKey <your_key>

五、总结

Elasticsearch 8.x 的安全默认值虽然增加了初始连接的复杂度，但这极大地提升了数据的安全性。通过上述代码，我们实现了：

1. 程序化信任：无需将证书导入全局 JDK cacerts，应用内部独立管理信任关系，部署更灵活。
2. 安全认证：使用 ApiKey 替代明文密码。
3. 平滑迁移：基于官方的新版 Java Client，享受类型安全和流式 API 的红利。

在实际项目中，建议将 serverUrl, apiKey, caPath 等敏感信息提取到配置文件（如 application.yml）或环境变量中，避免硬编码在代码里，以符合安全合规要求。