java - 默认 JDK 安装信任的证书

Question

寻找一种方法来了解默认情况下 JDK 信任哪些证书，而无需购买试用版。

JDK 有它信任的 CA 列表，但这并不是很有用，因为在购买之前并不清楚该证书将由哪个 CA 签署(大多数证书由中间机构签署。)

是否有保证默认 JDK 安装信任的证书列表/数据库？

Answer 1

具有默认设置的 JRE 信任所有以某种方式链接到 jre/lib/security/cacerts 中的证书之一的证书，除非您配置了不同的信任库。实际上这个过程有点复杂(谷歌 PKIX 路径验证)，但这个解释对我们的目的来说已经足够了。如果您的证书由中间 CA 签名(大多数证书都是如此)，请务必提供证书链。例如，如果您将它用于 apache 网络服务器上的 https，请使用 SSLCertificateChainFile 选项使用中间件配置文件。这样，哪个中间体签署证书并不重要，只要中间体链接到 cacerts 中的 CA。顺便说一句:这里解释了将证书放入信任库的过程:http://www.oracle.com/technetwork/java/javase/javasecarootcertsprogram-1876540.html由于 Oracle 保留从该列表中删除 CA 的权利，因此没有任何列表可以保证在未来的版本中有效。根据您的应用程序，通过属性 javax.net.ssl.trustStore 提供您自己的信任库可能是一种选择。