从 Java 应用安全连上 SAP HANA Cloud，彻底搞懂 JDBC、TLS、证书、KeyStore 与网络放行

在 SAP HANA Cloud 项目里，Java 程序连数据库这件事，看起来只需要一个 JDBC URL、数据库用户名和密码。真正动手时，却经常出现一种很有代表性的情况，账号确认没有问题，SAP HANA Cloud 实例也是 Running，endpoint 能从 SAP HANA Cloud Central 页面复制出来，程序却依旧卡在连接阶段。有时错误来自网络超时，有时是 SSL handshake 失败，有时是 certificate path 无法建立，还有时同一套 Java 代码在开发人员笔记本上可以运行，部署到企业服务器或者 CI/CD Runner 后立刻失败。这类现象并不神秘。SAP HANA Cloud 的 JDBC 连接实际上穿过了几道完全不同的安全关卡。客户端要有兼容的 SAP HANA JDBC Driver，网络来源必须被 SAP HANA Cloud 允许，客户端需要访问正确的 endpoint 和 SQL port，TLS 握手必须成功，Java 必须信任服务器证书所在的 CA 证书链，等这些条件都成立以后，数据库才会处理用户名和密码。所以，一次成功的 JDBC 连接，更接近下面这条链路。Java Application → SAP HANA JDBC Driver → JVM TLS → SAP HANA Cloud Endpoint → SAP HANA Cloud Network Allowlist → TLS Certificate Validation → SAP HANA Authentication → SQL Session理解了这条链路，很多以前看起来杂乱无章的连接故障就开始变得有层次了。SA