Java - 使用 sun 类验证 PKCS7 签名

Question

如何使用sun 类验证 PKCS7 签名？我知道这样做不好，但由于某些原因，我不能使用任何其他外部库的 BouncyCastle。

我可以使用以下代码从 PKCS7 获取内容：

str = str.replace("-----BEGIN PKCS7-----\n", "").replace("-----END PKCS7-----", "");
PKCS7 pkcs7 = new PKCS7(Base64.decodeBase64(str.getBytes("UTF-8")));
byte[] b = new byte[pkcs7.getContentInfo().getContent().getData().available()];
pkcs7.getContentInfo().getContent().getData().getBytes(b);
String s = new String(b, "UTF-8");
return s.substring(s.indexOf("<")); //there are some strange symbols before <?xml

但我需要先验证签名。当然，我有一个证书可以做到这一点： private X509Certificate certVerify;。

谢谢！

Answer 1

您必须自己编写 CMS 和底层 ASN.1 BER/DER 库。 Sun 不包含任何官方 API 来处理 PKCS#7（或后续 RFC）指定的 CMS 消息。

---

JRE 可能包含在 Java 的实现中有用的代码。请注意，这些类不是 API 的一部分，并且可能会随着 Sun's / Oracle's Java 的不同版本而改变。此外，它们可能根本不存在于 Java 的 3^rd 方实现中。

import sun.security.util.*;
import sun.security.x509.AlgorithmId;
import sun.security.x509.X500Name;
import sun.security.x509.KeyUsageExtension;
import sun.security.x509.PKIXExtensions;
import sun.misc.HexDumpEncoder;

这些 API 不应使用。它们甚至不能在不改变运行时的访问条件的情况下使用，例如日食。

---

请注意，Bouncy Castle 库具有非常许可；您甚至可以将源代码复制到您的应用程序中（只要您将初始声明留在其中，阅读许可证了解更多详细信息）。如果您的雇主告诉您，您甚至不能使用它，那么组织中可能存在严重错误。