HttpClient 始终采用 KeyStore 的第一个证书条目

Question

我有两个不同的 keyStores service1.jks 和 sevice2.jks 对应于两个不同的服务（但它们具有相同的 RootSertificate）。这是我的httpClient，它可以成功地与这两种服务一起使用：

  public HttpClient getHttpClient(String filePath, String password) {
    KeyStore keyStore = KeyStore.getInstance(new File(filePath), password.toCharArray());

    SSLContext sslContext = new SSLContextBuilder()
            .loadKeyMaterial(keyStore, password.toCharArray())
            .build();

    SSLConnectionSocketFactory socketFactory = new SSLConnectionSocketFactory(sslContext, (hostname, session) -> true);

    return HttpClients.custom()
            .setSSLSocketFactory(socketFactory)
            .build();
  }

我只需要在我的项目中使用一个共享密钥库。所以我将service1.jks 和sevice2.jks 合并为一个通用的keyStore common.jks：

cp sevice2.jks common.jks
keytool -importkeystore -srckeystore service1.jks -srcstoretype jks -srcstorepass changeit -destkeystore common.jks -deststoretype jks -deststorepass changeit

所以common.jks 有两个项目：

$ keytool -list -storepass changeit -keystore server.keystore.jks
Keystore type: JKS
Keystore provider: SUN

Your keystore contains 2 entries

service1-alias, 8 сент. 2020 г., PrivateKeyEntry,
Certificate fingerprint (SHA-256): 
....
service2-alias, 8 сент. 2020 г., PrivateKeyEntry,
Certificate fingerprint (SHA-256): 
...

然后事实证明，我的 HttpClient 现在只能与第一个 service1 一起成功运行，而对 service2 的请求则未经授权。在我看来，我的HttpClient 现在只采用第一个输入表单common.jks。如何让HttpClient 为请求使用正确的别名？

Answer 1

我相信这是默认行为。 SSLContextBuilder 的 Javadocs 中有一个 note：

请注意：默认的 Oracle JSSE 实现 SSLContext.init(KeyManager[], TrustManager[], SecureRandom) 接受 多个密钥和信任管理器，但只有第一个匹配类型 曾经使用过。参见例如：SSLContext.html#init

许多 Java 库和框架都有这个问题——证书可以使用别名存储在密钥库中，原则上，如果应用程序必须提供证书，则可以选择使用哪个别名。但是，执行此操作的工具通常从库中省略，假设应用程序永远不需要使用多个密钥库。