JDBC参数verifyServerCertificate = false无需客户端密钥库和信任库即可连接

Question

我正在尝试使用以下设置来创建与MYSQL服务器的ssl连接。我注意到，当我在jdbc URL中指定verifyServerCertificate =
false时，Java似乎会忽略通过System.setProperty指定的密钥库和信任库信息。因此，我可以注释掉1）中指定的代码，并且ssl连接仍将成功创建。当我指定verifyServerCertificate
= true时，似乎使用的是1）设置的值。所以我的问题是，在verifyServerCertificate =
false的情况下，JDBC如何在不使用客户端密钥库和信任库的情况下创建ssl连接？谢谢。

Java代码

1）

System.setProperty("javax.net.ssl.keyStore",(String) keyStorePath);
System.setProperty("javax.net.ssl.keyStorePassword", keyStorePassword);
System.setProperty("javax.net.ssl.trustStore",(String) trustStorePath);
System.setProperty("javax.net.ssl.trustStorePassword",(String)   trustStorePassword));

2）

String jdbcURL = "jdbc:mysql://192.11.11.111/database?verifyServerCertificate=false&useSSL=true&requireSSL=true";

3）

Connection con = DriverManager.getConnection(jdbcURL, dbuser, dbpassword);

MYSQL服务器

拨款声明：

4）

'GRANT ALL PRIVILEGES ON *.* TO 'dbuser'@'%' IDENTIFIED BY PASSWORD \'*2343ASDFWETDFGDSFGSDFGSDSDFWERASF\' REQUIRE SSL WITH GRANT OPTION'

编辑到my.cnf文件

5）

[mysqld]
ssl-ca=/etc/mysql/ca-cert.pem
ssl-cert=/etc/mysql/server-cert.pem
ssl-key=/etc/mysql/server-key.pem

附加信息

6）我正在使用我创建的证书颁发机构。

7）回应查询

show variables like '%ssl%';

have_openssl    YES 
have_ssl    YES
ssl_ca  /etc/mysql/certs/ca.pem
ssl_capath  
ssl_cert    /etc/mysql/certs/server-cert.pem
ssl_cipher  
ssl_crl 
ssl_crlpath 
ssl_key /etc/mysql/certs/server-key.pem

Answer 1

Java肯定可以建立SSL连接，而无需客户端验证服务器的证书链。

建立连接的类（javax.net.ssl类）通常会以怀疑的态度对待未经验证的服务器证书，并且会使握手失败。

但是它们为那些类的用户提供了一种有效的方式，即“如果服务器的证书不通过验证，可以继续并建立连接，那就可以了”。

当您说verifyServerCertificate = false时，就是这种情况。

从加密角度来看，SSL连接是完全有效的，但它不是经过身份验证的连接，因为您不知道服务器证书的来源。