java添加信任_ssl-在Java中使用自定义信任库以及默认的on

您可以使用与上一个答案中提到的模式类似的模式(针对另一个问题)。

本质上，掌握默认的信任管理器，创建另一个使用您自己的信任库的信任管理器。 将它们都包装在一个自定义的信任管理器实现中，该实现将调用委派给这两者(当一个失败时回退到另一个)。

TrustManagerFactory tmf = TrustManagerFactory

.getInstance(TrustManagerFactory.getDefaultAlgorithm());

// Using null here initialises the TMF with the default trust store.

tmf.init((KeyStore) null);

// Get hold of the default trust manager

X509TrustManager defaultTm = null;

for (TrustManager tm : tmf.getTrustManagers()) {

if (tm instanceof X509TrustManager) {

defaultTm = (X509TrustManager) tm;

break;

}

}

FileInputStream myKeys = new FileInputStream("truststore.jks");

// Do the same with your trust store this time

// Adapt how you load the keystore to your needs

KeyStore myTrustStore = KeyStore.getInstance(KeyStore.getDefaultType());

myTrustStore.load(myKeys, "password".toCharArray());

myKeys.close();

tmf = TrustManagerFactory

.getInstance(TrustManagerFactory.getDefaultAlgorithm());

tmf.init(myTrustStore);

// Get hold of the default trust manager

X509TrustManager myTm = null;

for (TrustManager tm : tmf.getTrustManagers()) {

if (tm instanceof X509TrustManager) {

myTm = (X509TrustManager) tm;

break;

}

}

// Wrap it in your own class.

final X509TrustManager finalDefaultTm = defaultTm;

final X509TrustManager finalMyTm = myTm;

X509TrustManager customTm = new X509TrustManager() {

@Override

public X509Certificate[] getAcceptedIssuers() {

// If you're planning to use client-cert auth,

// merge results from "defaultTm" and "myTm".

return finalDefaultTm.getAcceptedIssuers();

}

@Override

public void checkServerTrusted(X509Certificate[] chain,

String authType) throws CertificateException {

try {

finalMyTm.checkServerTrusted(chain, authType);

} catch (CertificateException e) {

// This will throw another CertificateException if this fails too.

finalDefaultTm.checkServerTrusted(chain, authType);

}

}

@Override

public void checkClientTrusted(X509Certificate[] chain,

String authType) throws CertificateException {

// If you're planning to use client-cert auth,

// do the same as checking the server.

finalDefaultTm.checkClientTrusted(chain, authType);

}

};

SSLContext sslContext = SSLContext.getInstance("TLS");

sslContext.init(null, new TrustManager[] { customTm }, null);

// You don't have to set this as the default context,

// it depends on the library you're using.

SSLContext.setDefault(sslContext);

您不必将该上下文设置为默认上下文。 如何使用它取决于您使用的客户端库(以及从中获取套接字工厂的位置)。

这就是说，原则上，无论如何，您总是必须根据需要更新信任库。 Java 7 JSSE参考指南对此有一个“重要说明”，现在在同一指南的版本8中已降级为“重要说明”：

JDK随附有限数量的受信任的根证书   java-home / lib / security / cacerts文件。 如keytool中所述   参考页，您有责任进行维护(即添加   并删除)此文件中包含的证书(如果使用   文件作为信任库。

根据您所使用的服务器的证书配置   联系人，则可能需要添加其他根证书。 获得   需要来自适当供应商的特定根证书。