Java 实现X509TrustManager
我目前正试图通过java中的SSL/TLS在internet上传输数据，我希望双方都进行身份验证。我自己实现了KeyManager来加载密钥对并向另一方提供适当的证书 现在，我正在尝试检查证书，并通过实现我自己的TrustManager来检查证书（双方都持有另一方的证书，所有内容都是自签名的）。然而，getAcceptedAssuers不能像我希望的那样工作，因为即使我返回none，连接仍然可以毫无问题地建立起来 为什么证书没有被拒绝Java 实现X509TrustManager,java,ssl,x509trustmanager,Java,Ssl,X509trustmanager,我目前正试图通过java中的SSL/TLS在internet上传输数据，我希望双方都进行身份验证。我自己实现了KeyManager来加载密钥对并向另一方提供适当的证书 现在，我正在尝试检查证书，并通过实现我自己的TrustManager来检查证书（双方都持有另一方的证书，所有内容都是自签名的）。然而，getAcceptedAssuers不能像我希望的那样工作，因为即使我返回none，连接仍然可以毫无问题地建立起来 为什么证书没有被拒绝 protected static class Selecti
protected static class SelectingTrustManager implements X509TrustManager{
final X509TrustManager delegate;
private String[] trustedAliases;
private final KeyStore keystore;
public SelectingTrustManager(X509TrustManager delegate, KeyStore keystore, String[] trustedAliases) {
this.trustedAliases = trustedAliases;
this.keystore = keystore;
this.delegate = delegate;
}
public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException{
delegate.checkClientTrusted(chain, authType);
}
public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException{
delegate.checkServerTrusted(chain, authType);
}
public X509Certificate[] getAcceptedIssuers(){
return new X509Certificate[0];
}
}
您不清楚您的代码是客户机还是服务器，所以我会同时回答这两个问题，尽管这只对服务器很重要 虽然javadoc不是特定的，
X509TM.getAcceptedIssuerscheckServerTrustedcheckClientTrustedgetAcceptedIssuers- 在服务器中，（仅限于）如果启用了客户端身份验证（通过调用
或needClientAuth（true）
），则其元素中的主题名称将用于在中创建CA列表。如果收到CA列表，则不会强制该列表与将用作客户端证书链信任锚的CA列表相同；事实上，trustmanager实际上并不需要使用信任锚列表，甚至不需要使用信任锚列表的其余部分——尽管如果您的“委托”是标准的wantClientAuth（true）
，它使用的是标准的X509[Extended]trustmanager
。但是，如果您告诉客户使用来自某些CA的证书，然后不接受来自这些CA的有效证书链，则您可能会遇到不高兴的客户，他们可能会带着各种沉重、尖锐和/或其他不愉快的物品追上您 在没有“CA”（长度为0的数组，如您所知）的特定情况下，客户端可以从其选择的任何CA发送证书，服务器将仅根据CertPathValidator
接受证书 为了完整性，请注意RFC为客户端定义了一个扩展，以指定它希望服务器证书使用的CA，但我不知道任何支持此扩展的实现，Java/JSSE肯定不支持，因此在实践中，服务器要么只有一个证书（每个算法），要么基于SNI进行选择（没有其他选择），如果客户不信任该证书，那就太糟糕了checkClientTrusted - 如果您有有效的算法约束（现在，即使您没有显式设置一些约束，您通常也会默认设置这些约束），如果链中的最后一个证书（假定的锚）是由
返回的证书（假定为（实际的）锚）之一，则不会对其强制执行这些约束。换句话说，如果证书是信任锚，那么用户可能已经决定信任它，即使它可能使用不符合当前标准的算法（如MD5或小于1024的RSA） 将证书放入信任库或以其他方式使其成为锚的人是否真正正确地评估了证书的安全性是另一个Java不试图回答的问题。即使是Stackexchange也可能无法做到这一点，尽管我相信这里会有人乐于尝试。（我没有承诺我是否会成为他们中的一员。）getAcceptedIssuers
needClientAuthneedClientAuthGetAcceptedAssuersX509[Extended]TrustManagerGetAcceptedAssuersgetAcceptedIssuers。请检查{Client，Server}TrustedcheckClientTrustedgetAcceptedIssuers