java - 带有 cacerts 的自定义 trustStore 作为不在自定义 trustStore 中的 key 的后备

Question

有没有办法通过命令行或自定义信任管理器来创建由 cacerts 支持的自定义 trustStore？

应用程序使用自定义 trustStore:

-Djavax.net.ssl.trustStore=/SSL/CATrust.jks

持有我们自己的信任证书，这是在自定义文件中完成的，以简化 JDK 的升级，而无需迁移 cacerts。

问题是 cacerts 携带了太多我们没有导入到 CATrust.jks 中的标准证书。因此，我们收到 SSL 错误，因为通过命令行属性提供的自定义 CATrust.jks 是独占的而不是附加的(除了 cacerts 证书)。

那么有没有办法提供自定义 trustStore，如果在该 trustStore 中找不到证书，服务器/应用程序将回退到尝试在 cacerts(或辅助 trustStore)中查找证书？

到目前为止，从最初的阅读和其他帖子来看，该信息谈论的是只有一个 trustStore，其中包含所有 CA 证书。

Answer 1

作为部署的一部分，您可以复制默认的 cacerts 并将您自己的 keystore 的内容导入其中(或相反):

cp /path/to/cacerts merged.jks
keytool -importkeystore -srckeystore /SSL/CATrust.jks -destkeystore merged.jks

当然最好避免使用相同的别名(检查 keytool -importkeystore 的选项以获取更多详细信息，尤其是当这必须是脚本的一部分时)。