为什么我们需要一个 jssecerts 文件，而 tomcat 提供了一个密钥库

Question

我通过 keytool 生成了一个密钥对到一个名为 keystore 的新密钥库中。在tomcat中，在安全端口的连接器中，我将密钥库指向了所述密钥库。 现在，当我通过 chrome 访问 tomcat 时，我收到有关证书的警告。我单击了锁定图标并保存了证书并将其导入到 chrome 中。现在，当我访问我的服务时，我确实得到了绿色图标，但我得到了一个异常 - PKIX 路径构建失败：无法找到请求目标的有效认证路径。 这是使用我从网上下载的 InstallCert 脚本修复的，该脚本创建了我移动到 jre 目录中的 jssecerts 文件。 一切都按预期工作，但我不明白为什么我们需要创建 jssecerts 文件。

如果我正确理解流程，当浏览器转到安全端口时，服务器会从密钥库中获取证书并将其发送到浏览器。但是，由于它是一个自签名证书，浏览器会抱怨，然后我要么说，我理解风险并继续，要么我将该证书导入 chrome（这使得证书受信任）。 如果上述理解是正确的，那么我不需要 jssecerts 文件。显然有一些问题，因为在我运行 InstallCert 并将 jssecerts 移动到 jre 中的安全文件夹之前，上述内容将不起作用。 （而不是 jssecerts 我本可以将它添加到 cacerts 但重点是一样的 - 为什么？）

我尝试使用信任库配置 tomcat 并指向密钥库，但是...

希望那里的安全专家可以对此有所了解。

谢谢 -anish

Answer 1

Java 看不到 Chrome 的受信任证书存储库。它使用自己的。