Tomcat 客户端证书验证

Question

我已经用 clientAuth="want" 配置了 tomcat，因此用户可以使用 CERT 或不使用它登录。现在我们有 在单独的上下文中公开 REST 服务，并且必须使用客户端 CERT 调用服务，因此我们编写了 休息服务的身份验证过滤器，我们正在检查用户是否使用 CERT 调用服务，如下所示

request.getAttribute(javax.servlet.request.X509Certificate);

1. 那么检查请求中是否存在唯一的证书就足够了，还是我们还必须验证该证书？既然我们的理解是tomcat在握手级别验证，不会让无效证书通过？
2. tomcat 是仅针对 trustStore 验证证书还是验证到期、颁发者等所有方面？
3. tomcat 是否验证证书是否被吊销？

Answer 1

除非证书有效，否则 Tomcat 不会将请求传递给你，所以你很好。

它还可以检查它是否被撤销，但您需要指定撤销列表才能使其工作（SSLCARevocationFile）。