java - 加载小程序时的 Tomcat 安全警告

Question

我有一个从安全的 tomcat 服务器加载的小程序，就在加载小程序之前，我收到一条错误消息，指出站点证书无效，无法用于验证该网站的身份。我不确定为什么只有当小程序开始加载时这才是问题，因为 tomcat 是使用这个证书设置的，现在它说它不受信任。如果我点击继续，该小程序加载正常，但每次新 session 我都会再次出现。

我通过将 COMODO RSA 组织验证安全服务器 CA 导入 Java 安全控制面板找到了解决方法。这确实不是我们所有用户的选择，所以我正在寻找其他方法来解决这个问题。

当我查看网站的安全报告时，它说网站连接已加密。站点认证有效，认证路径状态也表明没问题。我让 tomcat 管理员将 COMODO RSA Organization Validation Secure Server CA 导入到 keystore 中，但它没有解决问题。

小程序使用有效的签名者证书签名，并在用户点击继续后正常运行。

如有任何建议或帮助，我们将不胜感激。至少尝试一些东西或看另一件事真的很有帮助。

Answer 1

证书错误清楚地表明颁发证书的证书颁发机构不受信任。这意味着您必须通过进入浏览器的信任库手动添加它来明确信任它。

据我所知，并非所有 COMODO 的根证书都没有内置在 Java、Chrome 甚至 Windows 等少数软件中，不像一些主要的 CA，如 Entrust 或 GeoTrust 或 DigiCert 或 VeriSign 等。

根据您提到的 CA 名称(COMODO RSA Organization Validation Secure Server CA)，我只在我的 firefox 浏览器中安装了这个 CA 证书。我的 Java、Windows 和 Chrome 没有安装它。

我在我的软件中看到的唯一 COMODO 证书是这些(默认情况下):

Chrome:(58.0.3029.110)

• 科摩多RSA CA

FireFox:(53.0.3)

Windows:(10)

• 科摩多RSA CA

Java:(1.8.0_121)

• 科摩多ECC CA
• 科摩多RSA CA
• COMODO CA Limited

注意:这些是我在默认安装中看到的。这些在您的情况下可能有所不同。

假设它在您的机器上也类似，这就是导致证书错误的原因。我猜如果你尝试在 firefox 中启动你的小程序，你可能看不到错误，因为你提到的 CA 名称，我在默认安装的 firefox 中看到它。

但是如果您想在所有主流浏览器中克服这个错误，而不必培训您的用户如何将他们添加到信任库中，或者如果您想完全避免要求您的用户执行此步骤，您可能必须选择一个默认情况下受所有软件和浏览器信任的 CA。