java - 为什么 java 同时具有 cacerts 和 jssecacerts 文件？

Question

我对 cacerts 和 jssecacerts 文件之间的区别感到非常困惑。

我知道默认情况下，java 会查找 jssecacerts 文件，然后查找 cacerts 文件。

但是 jssecacerts 文件的意义何在？

我的理解是，如果需要使用新的信任库，则应制作 cacerts 的副本，并将所有新的受信任 CA 添加到该副本中。 cacerts 的副本(带有新的 CA)应该被 -Djavax.net.ssl.trustStore 系统属性引用。这样，在该机器上运行的其他 Java 应用程序就不会意外信任非默认 CA。

Answer 1

来自 Java™ Secure Socket Extension (JSSE) Reference Guide , TrustManagerFactory 使用以下步骤尝试查找信任 Material :

1. 系统属性javax.net.ssl.trustStore
2. java-home/lib/security/jssecacerts
3. java-home/lib/security/cacerts(默认提供)

我认为这是基于约定优于配置的概念。无需额外的编码工作，将使用 cacert。对于额外的私有(private) CA/签名证书，开发人员可以使用第一种或第二种方式，前者可能只包含一个特定的证书，但后来包含一个证书列表。