Docker Selenium Grid HTTPS 证书验证问题分析与解决方案

问题背景

在使用 Docker Selenium Grid 时，从版本 0.39.0（对应 Selenium 4.28.0）开始，用户遇到了 HTTPS 证书验证问题。当客户端尝试连接到 Grid 时，会收到 SSLHandshakeException 错误，提示无法找到有效的证书路径。

技术分析

证书验证机制变化

从 Selenium 4.14.0 版本开始，Java 客户端默认启用了严格的 HTTPS 证书验证机制。这是 Java 11+ HttpClient 的安全特性，相比早期版本更加严格地执行 SSL/TLS 验证。

Kubernetes Ingress 配置

在 Kubernetes 环境中，Grid 通过 Ingress 暴露服务时，需要正确配置 TLS 证书。常见问题包括：

1. 证书 Secret 未正确指定命名空间
2. 证书链不完整
3. 证书与域名不匹配

客户端信任机制

Java 客户端默认只信任 Java 运行时环境（JRE）中预装的证书颁发机构（CA）。对于自签名证书或内部 CA 颁发的证书，需要额外配置才能建立信任。

解决方案

方案一：导入证书到信任库

1. 从浏览器导出 Grid 使用的证书
2. 使用 keytool 将证书导入 Java 信任库：

   keytool -import -alias grid-cert -file grid.crt -keystore $JAVA_HOME/lib/security/cacerts
   

方案二：运行时忽略证书验证

对于 Java 客户端，可以通过以下方式临时禁用证书验证：

HttpClient.Factory httpClientFactory = HttpClient.Factory.createDefault();
HttpClient client = httpClientFactory.createClient(
    new ClientConfig().sslContext(
        new SslContextBuilder().trustAllCertificates().build()
    )
);
RemoteWebDriver driver = new RemoteWebDriver(
    new RemoteWebDriverBuilder()
        .address("https://grid.example.com")
        .oneOf(new ChromeOptions())
        .withHttpClient(client)
        .build()
);

方案三：通过 JVM 参数配置

在运行测试时添加 JVM 参数：

-Djavax.net.ssl.trustStore=/path/to/truststore.jks 
-Djavax.net.ssl.trustStorePassword=yourPassword

最佳实践建议

1. 生产环境：建议使用正规 CA 颁发的证书，并确保所有客户端都能正确验证
2. 测试环境：可以考虑使用方案二临时禁用验证，但需评估安全风险
3. 版本升级：从 Selenium 4.14.0 开始需要特别注意证书验证问题
4. Kubernetes 部署：确保 Ingress 配置中正确指定了证书 Secret 的命名空间

总结

Docker Selenium Grid 从 4.14.0 版本开始加强了 HTTPS 安全性，这可能导致现有部署出现证书验证问题。通过正确配置证书或适当调整客户端验证策略，可以解决这些问题。建议根据实际环境安全要求选择合适的解决方案。