如何以编程方式检查 X509 证书是否已经在 Java 信任库中？答案

【问题标题】：How to check if X509 certificate is already in the Java Trust Store programatically?如何以编程方式检查 X509 证书是否已经在 Java 信任库中？
【发布时间】：2015-07-31 13:18:28
【问题描述】：

我正在开发一个客户端 GUI，它接受自签名服务器证书并将它们添加到信任库，就像任何浏览器一样。问题是我的客户端应用程序每次启动时都要求提供证书，换句话说，它不记得证书已经在信任库中。我该如何实施？这就是我编写信任库文件的方式：

 public void WriteTrustStore(String alias, X509Certificate c){
    char[] password = "changeit".toCharArray();
    char SEP = File.separatorChar;
    keystoreFile = new File(System.getProperty("java.home")
            + SEP + "lib" + SEP + "security" + SEP + "cacerts");
    try {
        setTrustStore(trustStore);
        FileInputStream in = new FileInputStream(keystoreFile);
        trustStore.load(in, password);
        in.close();
        trustStore.setCertificateEntry(alias, c);
        FileOutputStream out = new FileOutputStream(keystoreFile);
        trustStore.store(out, password);
        out.close();
    } catch (KeyStoreException | NoSuchAlgorithmException | CertificateException | IOException e) {
        e.printStackTrace();
    }
}

然后我有另一种方法，我正在初始化我的 SSL 上下文并通过执行以下操作创建动态别名：

string alias = getHostname() + "-" + getPortname();

最后我有一个别名：

"myhost-5001"

然后我调用 WriteTrustStore(alias,certificate) 方法。

但是在程序的下一次执行运行中，如果我试图找到具有此别名的证书，我总是会得到一个空指针异常。

我知道信任库文件具有如下属性：

trustStore.containsAlias(alias)

我试过了，

if(trustStore.containsAlias(alias) == false){
     WriteTrustStore(alias, (X509Certificate) cert)
     }
     else {
           System.out.Println("Certificate already in trust store!");
     }

但我仍然得到一个空指针异常。而且我知道别名为 myhost-5001 的证书在 Java 信任库中，我使用 keytool 和 portecle 进行了交叉检查。

感谢您的帮助！

【问题讨论】：

你从哪里得到你的 NullPointerException？向我们展示堆栈跟踪，我们可能会为您提供帮助。仅供参考：浏览器不会自动接受和存储自签名证书 - 仅当用户单击 1-2 个按钮时！
感谢您的评论！那么空指针通常位于 trustStore.containsAlias(alias)。而且我知道浏览器不会自动接受证书，但通常会有一个弹出窗口显示证书信息并询问用户他/她是否愿意接受这个证书。这也是我想要实现的。
所以truststore 为空。这是微不足道的。
是的，truststore 为空。检查您的信任库路径并确保它已加载。
显然这是我做的第一件事。但这不是这里的问题。我需要知道在 java 信任库中查找证书的正确方法。我的猜测是，我们需要完全解析 cacerts 文件，然后查找特定颁发者 DN 之类的东西。我现在正在尝试，如果可行，将在此处发布；）

标签： java ssl x509 truststore

【解决方案1】：

我想通了，有两种方法可以做到这一点。

第一种方法

我在这里找到了这个：Check for trusted certificates，在这里你可以像这样枚举别名：

Enumeration en = keystore.aliases();
String ALIAS = "" ;

X509Certificate signingcert = null;

while (en.hasMoreElements())
{
    X509Certificate storecert = null;
    String ali = (String)en.nextElement() ;
    if(keystore.isCertificateEntry(ali))
     {
        storecert = (X509Certificate)keystore.getCertificate(ali);
        if( (storecert.getIssuerDN().getName()).equals(issuerdn))
        {
         try{
            System.out.println("Found matching issuer DN cert in keystore:\r\nChecking signature on cert ...") ;
            cert.verify(storecert.getPublicKey()) ;
            System.out.println("Signature verified on certificate") ;
            signingcert = storecert;
            break;
          }
         catch(Exception exc){
            System.out.println("Failed to verify signature on certificate with matching cert DN");
          }             
        }           
    }
    else
     if(keystore.isKeyEntry(ali))
        System.out.println(ali + "   **** key entry ****");
}

第二种方法

只需创建一个重复的证书，在信任库中查找具有您传递的别名的证书。

X509Certificate DuplicateCert = (X509Certificate) trustStore.getCertificate(alias);

第一种方法更安全，因为您也在查看颁发者 DN，但需要更长的时间，第二种方法更简单且更短。

第二种方法对我来说很有吸引力，你可以在这里找到完整的 GUI 代码审查，看看我是如何使用它的：JAX-WS client SSL code review

【讨论】：