Native Elasticsearch HTTPS 报 SSLParameters 反射缺失

应用在 JVM 下能访问 Elasticsearch，GraalVM native 镜像也能启动，直到第一次 HTTPS 查询才失败：

MissingReflectionRegistrationError:
Cannot reflectively invoke method
'public void javax.net.ssl.SSLParameters.setEnableRetransmissions(boolean)'

如果堆栈经过 Apache HttpCore 的 ReflectionUtils.callSetter 和 H2TlsSupport，应检查 native 反射元数据。此时把 CA 证书重新导入一遍，不能补上缺失的方法调用信息。

明确的故障组合包含 Boot 4.1.1、Spring Data Elasticsearch 6.1.1、Rest5Client 9.4.5、HttpClient 5.6.4、HttpCore H2 5.4.3 与 GraalVM Java 25.0.4。客户端由 Boot 的 spring.elasticsearch.* 自动配置创建；自定义 Spring Data 客户端可能走不同 TLS 策略，不能用它成功来否定原路径。

只给实际缺失的方法补调用提示

对于上述堆栈，可以在应用中加入范围明确的 runtime hint。下面的类放在应用自己的包内，包名按项目实际调整：

import javax.net.ssl.SSLParameters;

import org.springframework.aot.hint.ExecutableMode;
import org.springframework.aot.hint.RuntimeHints;
import org.springframework.aot.hint.RuntimeHintsRegistrar;
import org.springframework.aot.hint.TypeReference;

public final class ElasticsearchTlsHints implements RuntimeHintsRegistrar {
    @Override
    public void registerHints(RuntimeHints hints, ClassLoader classLoader) {
        hints.reflection().registerType(SSLParameters.class, type -> type
                .onReachableType(TypeReference.of(
                        "org.apache.hc.core5.http2.ssl.H2TlsSupport"))
                .withMethod("setEnableRetransmissions",
                        TypeReference.listOf(boolean.class),
                        ExecutableMode.INVOKE));
    }
}

再在已经由 Spring 加载的配置类上导入它：

import org.springframework.context.annotation.ImportRuntimeHints;

@ImportRuntimeHints(ElasticsearchTlsHints.class)

第二段只是注解片段，需要加在现有配置类的声明上，不是一份可独立编译的源文件。只定义 registrar 而没有导入，AOT 构建不会因此自动使用它。

提示使用 INVOKE，因为当前失败的是反射调用，而不只是查询方法信息；参数类型也必须是原生 boolean，不能换成包装类 Boolean。可达条件把提示限定到相关 HttpCore 类型，没有必要把整个 SSL 包的所有成员都开放反射。

重新生成镜像后再发真实查询

runtime hint 在构建 native 镜像时生效。修改 Java 配置后只重启旧镜像，或只重新跑 JVM 应用，都不会改变旧产物中的反射信息。

保留原 Elasticsearch 地址、SSL bundle、用户名和凭据注入方式，用同样的 HTTPS 请求检查新镜像。启动成功或健康端点显示 UP，都可能尚未经过这次 TLS 分支。应确认真正的查询返回预期结果，并且证书校验仍有效。

这项错误属于 LinkageError 分支，不能指望现有库中只捕获 Exception 的代码把它当成可忽略的 TLS 设置失败。更不应在业务层捕获后继续使用一个握手未完成的连接。

截至 2026 年 10 月 21 日，这里的处理按已核验的失败组合和 Spring RuntimeHints 接口限定；不能由问题关闭推断 Boot 某个正式补丁已内置该提示。后续升级应核对实际 reachability metadata 和正式产物，移除应用提示前仍复查原来的 HTTPS 查询。不要通过信任全部证书、改回明文或关闭 TLS 校验来避开反射路径。