java.util.jar.JarFile 的“验证”参数究竟是什么意思？

Question

java.util.jar.JarFile 的构造函数采用verify 参数，其唯一文档似乎是the JavaDoc 中的这句话：

verify - 如果已签名，是否验证 jar 文件。

不过，这显然不是很精确。 JarFile 的验证过程是什么？它是否仅验证 Jar 文件未被篡改，或者它是否还以某种未指定的方式验证签名者证书是否可信？如果验证失败，或者签名文件格式不正确，会发生什么情况？验证是急切的还是懒惰的，&c&c？

我觉得这种似乎与核心 Java 安全性如此密切相关的过程的文档记录如此之差，这通常很奇怪，所以我担心这可能被认为是我不应该使用的“内部”API。是这样吗，还是我可能只是在某个地方错过了外部文档，或者只是一些奇怪的疏忽？

Answer 1

可能值得查看最新文档，而不是 2004 的文档。 :-)

在up-to-date documentation 中，它说：

如果在打开签名的 jar 文件时打开了验证标志，则会根据嵌入在文件中的签名来验证文件的内容。请注意，验证过程不包括验证签名者的证书。调用者应检查JarEntry.getCodeSigners() 的返回值，以进一步确定签名是否可信。