netty https 客户端 + 服务端 代码案例实现

netty https 客户端 + 服务端 代码案例实现

最近在写微信扫码交易挡板的时候遇到如下问题,由于微信的撤销、退款交易需要用到.p12格式的证书(客户端在交易请求的时候用到了),一直看不懂微信demo中的 “ sslContext.init(kmf.getKeyManagers(), null, new SecureRandom());” 这行代码啥意思,现在才了解到HTTPS的单认证,双认证的含义,主要是微信这里和网上其他的认证不通,这个是服务端的单认证模式(网上其他大多数是客户端认证模式)

1. SSL单向认证的过程总结如下:

SSL单向认证的过程总结如下:
1.SSL客户端向服务端传送客户端SSL协议的版本号、支持的加密算法种类、产生的随机数,以及其他可选信息;
2.服务端返回握手应答,向客户端传送确认SSL协议的版本号、加密算法的种类随机数以及其他相关信息;
3.服务端向客户端发送自己的公钥;
4.客户端对服务端的证书进行认证,服务端的合法性校验包括:证书是否过期、发行服务器证书的CA是否可靠、发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”、服务器证书上的域名是否和服务器的实际域名相匹配等;
5.客户端随机产生一个用于后面通讯的“对称密码”,然后用服务端的公钥对其加密,将加密后的“预主密码”传给服务端;
6.服务端将用自己的私钥解开加密的“预主密码”,然后执行一系列步骤来产生主密码;
7.客户端向服务端发岀信息,指明后面的数据通讯将使用主密码为对称密钥,同时通知服务器客户端的握手过程结束;
8.服务端向客户端发出信息,指明后面的数据通讯将使用主密码为对称密钥,同时通知客户端服务器端的握手过程结束;
9.SSL的握手部分结束,SSL安全通道建立,客户端和服务端开始使用相同的对称密钥对数据进行加密,然后通过 Socket进行传输。

注释:
对于第4点,微信正好相反,.p12证书是微信发布给客户的,即服务端需要的是服务端对客户端的认证,sslContext.init(kmf.getKeyManagers(), null, new SecureRandom()),这个是客户端的代码,第二个参数是null,表示客户端不需要验证服务端,即在写服务端的代码的时候,第二个要写参数,验证的是客户端(即客户端用的证书是否是微信发布的)

2. 双向认证

SSL双向认证相比单向认证,多了一步服务端发送认证请求消息给客户端,客户端发送自签名证书给服务端进行安全认证的过程

https单双向的认证可自行百度更详细的说明,下面开始具体的代码和步骤

引用的步骤主要是如下链接(其他人的) “Netty进行SSL认证” 链接: link
上面的步骤是双向认证的,现我粘贴如下并加入部分注解

3. 证书准备

第一步:   生成Netty服务端私钥和证书仓库命令,用于将客户端的证书保存到服务端的授信证书仓库中 
   (这部生成的是服务端的证书仓库,仓库里面服务端的私钥信息,后面的步骤会吧客户端的公钥放在这个仓库中,服务端用仓库的公钥验证客户端的证书的正确性)
   
 keytool -genkey -alias securechat -keysize 2048 -validity 365 -keyalg RSA -dname "CN=localhost" -keypass sNetty -storepass sNetty -keystore sChat.jks
 
第二步:生成Netty服务端自签名证书 用于颁给使用者 从 证书仓库中导出证书(从服务端的证书仓库中(即里面的私钥信息)导出公钥证书,这个cer公钥证书导入客户端的证书仓库中,客户端用于验证服务端的证书信息)
 
keytool -export -alias securechat -keystore sChat.jks -storepass sNetty -file sChat.cer
 
 第三步:生成客户端的私钥和证书仓库,用于将服务端的证书保存到客户端的授信证书仓库中 (步骤同第一步一样,只不过这个是客户端的证书仓库而已)
 
    keytool -genkey -alias smcc -keysize 2048 -validity 365  -keyalg RSA -dname "CN=localhost" -keypass sNetty  -storepass sNetty -keystore cChat.jks
 
第四步:生成客户端自签名证书(步骤同第二步一样,这个cer公钥证书导入服务端的证书仓库中,服务端用于验证客户端的证书信息)
 
  keytool -export -alias smcc -keystore cChat.jks -storepass sNetty -file cChat.cer
 
第五步:将Netty服务端证书导入到客户端的证书仓库中
 
keytool -import -trustcacerts -alias securechat -file sChat.cer -storepass sNetty -keystore cChat.jks
 
第六步:将客户端的自签名证书导入到服务端的信任证书仓库中:
 
   keytool -import -trustcacerts -alias smcc -file cChat.cer -storepass sNetty -keystore sChat.jks
 
 即上面的6部后,我们只要使用两个证书即可,即sChat.jks,cChat.jks
sChat.jks 中有服务端的私钥证书 + 客户端的公钥证书;这个证书用在服务端
cChat.jks 中有客户端的私钥证书 + 服务端的公钥证书;这个证书用在客户端
 
 -keysize 2048 密钥长度2048位(这个长度的密钥目前可认为无法被暴力破解)
-validity 365 证书有效期365天
-keyalg RSA 使用RSA非对称加密算法
-dname "CN=localhost" 设置Common Name为localhost
-keypass sNetty密钥的访问密码为sNetty
-storepass sNetty密钥库的访问密码为sNetty(其实这两个密码也可以设置一样,通常都设置一样,方便记)
-keystore sChat.jks 指定生成的密钥库文件为sChata.jks
 

4. 代码

4.1 公共代码

package edu.mi.oneway;
 
import java.io.FileInputStream;
import java.io.IOException;
import java.io.InputStream;
import java.security.KeyStore;
 
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
 
public final class SecureChatSslContextFactory {
 
    private static final String PROTOCOL = "TLS";
 
    private static SSLContext SERVER_CONTEXT;//服务器安全套接字协议
 
    private static SSLContext CLIENT_CONTEXT;//客户端安全套接字协议
 
    //服务端使用
    public static SSLContext getServerContext(String pkPath){
        if(SERVER_CONTEXT!=null) return SERVER_CONTEXT;
        InputStream in =null;
 
        try{
            //密钥管理器
            KeyManagerFactory kmf = null;
            if(pkPath!=null){
                //密钥库KeyStore
               // KeyStore.getDefaultType()
                KeyStore ks = KeyStore.getInstance("JKS");
                //加载服务端证书
                in = new FileInputStream(pkPath);
                //加载服务端的KeyStore  ;sNetty是生成仓库时设置的密码,用于检查密钥库完整性的密码
                ks.load(in, "sNetty".toCharArray());
 
                kmf = KeyManagerFactory.getInstance("SunX509");
                //初始化密钥管理器
                kmf.init(ks, "sNetty".toCharArray());
            }
            //获取安全套接字协议(TLS协议)的对象
            SERVER_CONTEXT= SSLContext.getInstance(PROTOCOL);
            //初始化此上下文
            //参数一:认证的密钥(服务端的私钥)
            // 参数二:对等信任认证 (客户端的公约,已导入到sChat.jks证书仓库中了)
            // 参数三:伪随机数生成器 。 ,
            
            //1、客户端认证服务端的 单认证模式(服务端不用验证客户端,所以第二个参数为null)
            SERVER_CONTEXT.init(kmf.getKeyManagers(), null, null);

            //2、如果要服务端的单认证或双认证模式,使用如下代码,(服务端需要验证客户端,所以第二个参数不能为null)) 
            //SERVER_CONTEXT.init(kmf.getKeyManagers(),  tf.getTrustManagers(), null);
            
            //tf.getTrustManagers()的获取如下:
            /*
            TrustManagerFactory tf = null;
            if (pkPath!= null) {
                //密钥库KeyStore
                KeyStore tks = KeyStore.getInstance("JKS");
                //加载客户端证书
                tIN = new FileInputStream(pkPath);    //(客户端的公约,已导入到sChat.jks证书仓库中了)
                tks.load(tIN, "sNetty".toCharArray());
                tf = TrustManagerFactory.getInstance("SunX509");
                // 初始化信任库
                tf.init(tks);
            }
            */
       //SERVER_CONTEXT.init(参数1,参数2,参数3)
       //说明: 参数1 主要是https交换密钥的 加密的私钥信息,
       //       参数2 主要是验证信息,即用参数1的私钥加密后,用参数2的公钥解密,能解开 即验证成功了(秘钥验证成功了)
       //       参数3  生成的密钥随机数
        }catch(Exception e){
            throw new Error("Failed to initialize the server-side SSLContext", e);
        }finally{
            if(in !=null){
                try {
                    in.close();
                } catch (IOException e) {
                    e.printStackTrace();
                }
            }
 
        }
        return SERVER_CONTEXT;
    }
 
    //客户端使用
    public static SSLContext getClientContext(String caPath){
        if(CLIENT_CONTEXT!=null) return CLIENT_CONTEXT;
 
        InputStream tIN = null;
        try{
            //信任库
            TrustManagerFactory tf = null;
            if (caPath != null) {
                //密钥库KeyStore
                KeyStore tks = KeyStore.getInstance("JKS");
                //加载客户端证书
                tIN = new FileInputStream(caPath);
                tks.load(tIN, "sNetty".toCharArray());
                tf = TrustManagerFactory.getInstance("SunX509");
                // 初始化信任库
                tf.init(tks);
            }
 
            CLIENT_CONTEXT = SSLContext.getInstance(PROTOCOL);
            //1、设置信任证书,这个原理同服务端的介绍,下面的是单认证模式,为客户端的单认证模式,客户端认证服务端的证书是否正确,cChat.jks 中有服务端的公约了,即可以认证了
            CLIENT_CONTEXT.init(null, tf.getTrustManagers(), null);
 
            //2、如何需要服务端的单认证模式,即服务端认证客户端的证书的正确性(第一个参数不能为null),单客户端不需要认证服务端的正确性,那第二个参数就可以为null
            //CLIENT_CONTEXT.init(kmf.getKeyManagers(),  null, null); 
            //其中kmf.getKeyManagers() 获取如下:
            /*
			if(caPath !=null){
                //密钥库KeyStore
               // KeyStore.getDefaultType()
                KeyStore ks = KeyStore.getInstance("JKS");
                //加载服务端证书
                in = new FileInputStream(caPath );
                //加载服务端的KeyStore  ;sNetty是生成仓库时设置的密码,用于检查密钥库完整性的密码
                ks.load(in, "sNetty".toCharArray());
 
                kmf = KeyManagerFactory.getInstance("SunX509");
                //初始化密钥管理器
                kmf.init(ks, "sNetty".toCharArray());
            }
			*/
         
          //3、如果需要双认证模式,代码如下
          //CLIENT_CONTEXT.init(kmf.getKeyManagers(),  tf.getTrustManagers(), null);
            

        }catch(Exception e){
            e.printStackTrace();
            throw new Error("Failed to initialize the client-side SSLContext");
        }finally{
            if(tIN !=null){
                try {
                    tIN.close();
                } catch (IOException e) {
                    e.printStackTrace();
                }
            }
        }
 
        return CLIENT_CONTEXT;
    }
 
}

4.2 客户端

import java.io.BufferedReader;
import java.io.InputStreamReader;
 
import io.netty.bootstrap.Bootstrap;
import io.netty.channel.Channel;
import io.netty.channel.ChannelFuture;
import io.netty.channel.EventLoopGroup;
import io.netty.channel.nio.NioEventLoopGroup;
import io.netty.channel.socket.nio.NioSocketChannel;
 
public class SecureChatClient {
 
    public void start(String host,int port) throws Exception{
        EventLoopGroup group = new NioEventLoopGroup();
        try{
            Bootstrap b = new Bootstrap();
            b.group(group).channel(NioSocketChannel.class)
                    .handler(new SecureChatClientInitializer());
 
            // Start the connection attempt.
            Channel ch = b.connect(host, port).sync().channel();
            // Read commands from the stdin.
            ChannelFuture lastWriteFuture = null;
            BufferedReader in = new BufferedReader(new InputStreamReader(
                    System.in));
            for (;;) {
                String line = in.readLine();
                if (line == null) {
                    break;
                }
                /**
                 * 所有的输入最后 加上分隔符 用于分割 因为我们使用的是 依照 回车作为分隔符的
                 */
                lastWriteFuture = ch.writeAndFlush(line + "\r\n");
 
                if ("bye".equals(line.toLowerCase())) {
                    ch.closeFuture().sync();
                    break;
                }
            }
 
            // Wait until all messages are flushed before closing the channel.
            if (lastWriteFuture != null) {
                lastWriteFuture.sync();
            }
        }finally{
            group.shutdownGracefully();
        }
    }
 
    public static void main(String[] args) throws Exception {
        new SecureChatClient().start("localhost", 8765);
 
    }
 
}
import io.netty.channel.ChannelInitializer;
import io.netty.channel.ChannelPipeline;
import io.netty.channel.socket.SocketChannel;
import io.netty.handler.codec.DelimiterBasedFrameDecoder;
import io.netty.handler.codec.Delimiters;
import io.netty.handler.codec.LengthFieldBasedFrameDecoder;
import io.netty.handler.codec.string.StringDecoder;
import io.netty.handler.codec.string.StringEncoder;
import io.netty.handler.ssl.SslHandler;
import io.netty.util.CharsetUtil;
 
import javax.net.ssl.SSLEngine;
import java.nio.ByteOrder;
 
public class SecureChatClientInitializer extends ChannelInitializer<SocketChannel> {
 
    @Override
    protected void initChannel(SocketChannel ch) throws Exception {
        ChannelPipeline pipeline = ch.pipeline();
        String cChatPath = System.getProperty("user.dir") + "\\src\\main\\resources\\cChat.jks";
 
        SSLEngine engine = SecureChatSslContextFactory.getClientContext(cChatPath)
                .createSSLEngine();//创建SSLEngine
        //1、单认证模式,客户端验证
        //   配合使用的是SERVER_CONTEXT.init(kmf.getKeyManagers(), null, null);
        //              CLIENT_CONTEXT.init(null, tf.getTrustManagers(), null);
        engine.setUseClientMode(true);//客户方模式

        //2、单认证模式,服务端验证
        //  配合使用的是SERVER_CONTEXT.init(kmf.getKeyManagers(),  tf.getTrustManagers(), null);
        //             CLIENT_CONTEXT.init(kmf.getKeyManagers(), null, null);
        // engine.setUseClientMode(false);//服务方模式


        //3、双认证模式
        //  配合使用的是SERVER_CONTEXT.init(kmf.getKeyManagers(),  tf.getTrustManagers(), null);
        //             CLIENT_CONTEXT.init(kmf.getKeyManagers(),  tf.getTrustManagers(), null); 
        //engine.setUseClientMode(true);  //也可以不写
        //engine.setNeedClientAuth(true);
        
        pipeline.addLast("ssl", new SslHandler(engine));
 
 
         pipeline.addLast("framer", new DelimiterBasedFrameDecoder(8192, Delimiters.lineDelimiter()));
       // pipeline.addLast(new LengthFieldBasedFrameDecoder(65535, 0, 2, 0, 2, true));
 
        // pipeline.addLast("decoder", new JsonDecoder());
        // pipeline.addLast("encoder", new StringEncoder());
        //pipeline.addLast(new JsonDecoder());
       //pipeline.addLast(new LengthFieldPrepender(2));
        pipeline.addLast("decoder", new StringDecoder(CharsetUtil.UTF_8));
        pipeline.addLast("encoder", new StringEncoder(CharsetUtil.UTF_8));
        //pipeline.addLast(new JsonEncoder());
 
        pipeline.addLast("handler", new SecureChatClientHandler());
 
    }
 
    /*public static void main(String[] args) {
        String s=System.getProperty("user.dir")+"\\src\\main\\resources\\cChat.jks";
        System.out.println(s);
    }*/
}
import io.netty.channel.ChannelHandlerContext;
import io.netty.channel.SimpleChannelInboundHandler;
 
public class SecureChatClientHandler extends SimpleChannelInboundHandler<String> {
 
    @Override
    public void messageReceived(ChannelHandlerContext ctx, String msg) throws Exception {
        System.err.println(msg);
    }
    @Override
    public void exceptionCaught(ChannelHandlerContext ctx, Throwable cause) throws Exception {
        cause.printStackTrace();
        ctx.close();
    }
}

4.3 服务端

import io.netty.bootstrap.ServerBootstrap;
import io.netty.channel.ChannelFuture;
import io.netty.channel.EventLoopGroup;
import io.netty.channel.nio.NioEventLoopGroup;
import io.netty.channel.socket.nio.NioServerSocketChannel;
import io.netty.handler.logging.LogLevel;
import io.netty.handler.logging.LoggingHandler;
 
public class SecureChatServer {
 
    public void run(int port) throws InterruptedException{
        EventLoopGroup bossGroup = new NioEventLoopGroup();
        EventLoopGroup workGroup = new NioEventLoopGroup();
        try{
            ServerBootstrap b = new ServerBootstrap();
            b.group(bossGroup, workGroup)
                    .channel(NioServerSocketChannel.class)
                    .handler(new LoggingHandler(LogLevel.INFO))
                    .childHandler(new SecureChatServerInitializer());
 
            ChannelFuture cf = b.bind(port).sync();
 
            cf.channel().closeFuture().sync();
 
        }finally{
            bossGroup.shutdownGracefully();
            workGroup.shutdownGracefully();
        }
 
    }
 
    public static void main(String[] args) throws InterruptedException {
        new SecureChatServer().run(8765);
 
    }
 
}
import javax.net.ssl.SSLEngine;
 
import io.netty.channel.ChannelInitializer;
import io.netty.channel.ChannelPipeline;
import io.netty.channel.socket.SocketChannel;
import io.netty.handler.codec.*;
import io.netty.handler.codec.string.StringDecoder;
import io.netty.handler.codec.string.StringEncoder;
import io.netty.handler.ssl.SslHandler;
 
public class SecureChatServerInitializer extends ChannelInitializer<SocketChannel> {
 
    @Override
    protected void initChannel(SocketChannel sc) throws Exception {
        ChannelPipeline pipeline = sc.pipeline();
        String sChatPath = (System.getProperty("user.dir")+ "\\src\\main\\resources\\sChat.jks");
 
        SSLEngine engine = SecureChatSslContextFactory.getServerContext(sChatPath).createSSLEngine();

        // 1、单认证模式,客户端认证模式
        //   配合使用的是SERVER_CONTEXT.init(kmf.getKeyManagers(), null, null);
        //              CLIENT_CONTEXT.init(null, tf.getTrustManagers(), null);
        engine.setUseClientMode(false);//即不需要客户端使用私钥,服务端使用私钥客户端验证,
       
       //2、单认证模式,服务端认证模式
       //  配合使用的是SERVER_CONTEXT.init(kmf.getKeyManagers(),  tf.getTrustManagers(), null);
       //             CLIENT_CONTEXT.init(kmf.getKeyManagers(), null, null);
       // engine.setUseClientMode(true);//设置为true,即需要客户端使用私钥,服务单用公钥验证
        

       //3、双认证模式
       //  配合使用的是SERVER_CONTEXT.init(kmf.getKeyManagers(),  tf.getTrustManagers(), null);
       //             CLIENT_CONTEXT.init(kmf.getKeyManagers(),  tf.getTrustManagers(), null); 
       //engine.setNeedClientAuth(true);  

        pipeline.addLast("ssl", new SslHandler(engine));
        pipeline.addLast("framer", new DelimiterBasedFrameDecoder(8192,Delimiters.lineDelimiter()));
        pipeline.addLast("decoder", new StringDecoder());
        pipeline.addLast("encoder", new StringEncoder());
        pipeline.addLast("handler", new SecureChatServerHandler());
    }
 
 
}

import java.net.InetAddress;
 
import io.netty.channel.Channel;
import io.netty.channel.ChannelHandlerContext;
import io.netty.channel.SimpleChannelInboundHandler;
import io.netty.channel.group.ChannelGroup;
import io.netty.channel.group.DefaultChannelGroup;
import io.netty.handler.ssl.SslHandler;
import io.netty.util.concurrent.Future;
import io.netty.util.concurrent.GenericFutureListener;
import io.netty.util.concurrent.GlobalEventExecutor;
 
public class SecureChatServerHandler extends SimpleChannelInboundHandler<String> {
 
    static final ChannelGroup channels = new DefaultChannelGroup(GlobalEventExecutor.INSTANCE);
 
    @Override
    public void channelActive(ChannelHandlerContext ctx) throws Exception {
        ctx.pipeline().get(SslHandler.class).handshakeFuture()
                .addListener(new GenericFutureListener<Future<Channel>>() {
 
                    @Override
                    public void operationComplete(Future<Channel> arg0)
                            throws Exception {
                        if(arg0.isSuccess()){
                            ctx.writeAndFlush("Welcome to "+ InetAddress.getLocalHost().getHostName()+ " secure chat service!\n");
                            ctx.writeAndFlush("Your session is protected by "+ ctx.pipeline().get(SslHandler.class).engine().getSession().getCipherSuite()+ " cipher suite.\n");
                            channels.add(ctx.channel());
 
                        }
                    }
                });
 
 
    }
 
 
    @Override
    protected void messageReceived(ChannelHandlerContext ctx, String msg)
            throws Exception {
        for (Channel c : channels) {
            if (c != ctx.channel()) {
                c.writeAndFlush("[" + ctx.channel().remoteAddress() + "] "+ msg + '\n');
            } else {
                c.writeAndFlush("[you] " + msg + '\n');
            }
        }
        if ("bye".equals(msg.toLowerCase())) {
            ctx.close();
        }
    }
 
 
    @Override
    public void exceptionCaught(ChannelHandlerContext ctx, Throwable cause)
            throws Exception {
        cause.printStackTrace();
        ctx.close();
    }
 
}

5. 参考资料

1、原文链接:https://blog.csdn.net/drsbbbl/article/details/117563123
2、https://blog.csdn.net/shenchaohao12321/article/details/90209940

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值