java - 为什么tomcat自带keystore还需要jssecerts文件

Question

我通过 keytool 将 key 对生成到一个名为 keystore 的新 keystore 中。在 tomcat 中，在安全端口的连接器中，我将 keystore 指向所述 keystore 。现在，当我通过 chrome 访问 tomcat 时，我收到有关证书的警告。我单击锁图标并保存证书并将其导入 chrome。现在，当我访问我的服务时，我确实得到了绿色图标，但我得到了一个异常 - PKIX 路径构建失败:无法找到请求目标的有效证书路径。这是使用我从网上获得的 InstallCert 脚本修复的，该脚本创建了我移入 jre 目录的 jssecerts 文件。一切都按预期工作，但我不明白为什么我们需要创建 jssecerts 文件。

如果我正确理解流程，当浏览器转到安全端口时，服务器从 keystore 中获取证书并将其发送到浏览器。然而，由于它是一个自签名证书，浏览器会提示，然后我要么说，我了解风险并继续，要么我将该证书导入 chrome(这使得证书受信任)。如果上述理解是正确的，那么我将不需要 jssecerts 文件。显然有一些问题，因为在我运行 InstallCert 并将 jssecerts 移动到 jre 中的安全文件夹之前，上面的方法不起作用。 (而不是 jssecerts 我可能已经将它添加到 cacerts 但重点是一样的 - 为什么？)

我尝试使用信任库配置 tomcat 并指向 keystore ，但是......

希望那里的安全专家能对此有所启发。

谢谢-anish

Answer 1

Java 看不到 Chrome 的可信证书库。它使用自己的。