java - 我应该使用 cacerts 还是本地 trustore 但不能同时使用两者？

Question

我们有一个本地 truststore.jks 用于我们的应用程序。我们使用 VM 选项将其传递给应用程序，如下所示:

-Djavax.net.ssl.trustStore=<<PATH TO TRUSTSOTRE.JKS>>

如果我们已经在使用这个 truststore.jks 是否有充分的理由将证书导入到我们 jdk 的 cacerts 文件中？
我们不能将这些证书导入现有的 truststore.jks 吗？

Answer 1

这里没有对错，决定取决于您的应用程序的操作和管理安全设置的方​​法。
就我个人而言，我总是更喜欢使用自定义信任存储(正如您已经在做的那样)，只包含您的应用程序所需的端点的​​信任路径。
这样，您只需保持对您正在使用的端点的信任。
但是，如果应用程序使用来自不同 CA 提供者的证书连接到许多 TLS 端点，则基于 cacerts 的信任存储可以在端点更改颁发者时使维护更容易。
在这种情况下，我会建议 不是 更改 JRE 中的 cacerts 文件，但将自定义信任存储文件基于 cacerts 文件以供应用程序使用。