我有一个使用密码生成的JKS 文件。我有一个使用 keystore 连接到 url 的 java 代码。现在，当我加载密钥库时，我错误地将 密码 传递为 null。但令我惊讶的是，连接仍然通过。
KeyStore store = KeyStore.getInstance("JKS");
store.load(stream, null);
我觉得这种行为很可疑。有对此的解释吗？
编辑：
如果此行为符合预期，那么为什么在通过 keytool 创建密钥库时需要密码？
【问题讨论】：
https 站点（以排除仅在实际需要时才使用密码）？
HTTPS 站点！
标签： java security ssl keystore jks
如果您不提供密码：
对于用作信任库的KeyStore，即只包含受信任的证书，这是一种正常用法。
如果此行为符合预期，那么为什么在通过 keytool 创建密钥库时需要密码？
这样您就可以在打开时提供一个，从而获得上述（1）或（2）处的行为。
【讨论】：
keytool 将私钥添加到密钥库。信任库不提供密码是正常用法，这就是您的问题所在。我不明白你为什么要问这些问题。
嗯，我认为您传递的密码是为了确保密钥库本身的完整性（在更改内容本身时）。但是，如果没有提供密码，内容（密钥/证书）仍然可以读取 - 这就是您所遇到的。
出于说明目的，您还可以通过运行以下命令查看密钥库的内容：keytool -list -keystore <keystore> - 这并不意味着将密码短语传递给密钥库本身。
您还可以在此处阅读与 KeyStore 对象上的 load() 函数本身相关的更多信息：http://docs.oracle.com/javase/7/docs/api/java/security/KeyStore.html#load(java.io.InputStream,%20char[])。
stream - 从中加载密钥库的输入流，或 null
password - 用来检查keystore完整性的密码，用来解锁keystore的密码，或者为null
【讨论】：