keytool - 仅使用可信证书进行 jarsigner 验证？

Question

我注意到在 keytool 文档中它写着“jarsigner [...] 检查该证书的公钥是否‘可信’，即包含在指定的 keystore 中。”而 jarsigner 联机帮助页指出“验证 [...] 时不需要 keystore ”，并且该实用程序将始终根据 jar 提供的证书进行验证。在我看来，这有点违背了目的，因为它只能证明 jar 自签名以来没有被更改，但不能证明它是由某个特定机构/供应商签名的。

如果用于签署 jar 的证书在运行时系统上未知/不可信，是否有某种方法使验证失败？或者我必须使用脚本来调用 jarsigner -verify -verbose -keystore ...并解析输出以查看本地(运行时) keystore 中是否存在签名证书的条目？

困惑，彼得

Answer 1

jarsigner 实用程序对于 JAR 签名验证毫无用处，因为它不验证签名者证书，不检查签名上的可信时间戳，并且不提供可用的结果(解析控制台输出不是一个很好的解决方案)。

为了避免这种限制，我们选择编写自己的 verify_jar实用程序。