与自定义密码套件的 Java HTTPS 连接

Question

假设我尝试使用 HttpsURLConnection 通过 HTTPS 连接到 Web 服务器。现在，如果我使用以下方法在客户端上设置/限制密码:

System.setProperty("https.cipherSuites", myCustomCipherSuites);

我想知道如何在我的 Java 客户端和 Web 服务器之间达成一致的密码。例如，如果我的密码套件包括 [medium, strong] 并且 Web 服务器支持 [weak, medium, strong, stronger] ...

1- 是否会选择“strong”，即客户端和服务器上都可用的最强者？2- 是否有 Web 服务器定义的优先级，然后在客户端上进行可用性检查以找到具有最高优先级(在 Web 服务器上)并且相互可用(在客户端和服务器上)的密码？

此外，如果我有一个密码列表“a”、“b”、“c”和“d”，并且网络服务器仅支持“e”、“f”和“g”……我可以吗确保客户端和服务器在放弃之前都会用尽所有协商连接的可能性，并尝试找到一个通用密码(因为没有可用的通用密码)。我很确定答案是肯定的......但我只是想确认一下。

Answer 1

关于你的第一个问题:

客户端提供其首选顺序的密码套件列表(最想要的第一个，最不想要的最后一个)。

服务器应该选择它愿意同意的列表中的第一项，忽略服务器可能具有的任何偏好。但是，没有(简单的)方法可以阻止服务器使用自己的首选项(如果它们与客户端的首选项不匹配)。

关于第二个，如果没有匹配的密码套件，连接失败。算不上真“排气”，倒不如说“我支持A、B、C、D” | “我不支持其中任何一个。我猜我们无法连接。”