Java中的证书路径发现

Question

我尝试通过Java内置功能为此（HttpURLConnection）建立一个https连接。但是我得到这个异常：

javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
at com.sun.net.ssl.internal.ssl.Alerts.getSSLException(Alerts.java:174)
...
...

我的证书链是：

Root certificate -> Intermediate certificate -> Web server certificate

所使用的证书通过“路径发现”的含义是正确的。信任锚是根证书，该根证书导入到我系统上的Java密钥库中。中间证书不是…但是

1. 中间证书由我信任的根签名-因此，我也信任中间证书。
2. Web服务器证书已使用我信任的中间证书签名（第1点）

那么验证必须成功通过？我做错什么了吗？

我在某处读到了这个：

浏览器可以执行自动发现，而服务器到服务器则不能。

但是缺少此功能是非常基本的。是否有进行自动发现的明确方法？

• * 更新

是的，这就是问题，GPI。我很困惑，因为浏览器可以验证服务器证书，但是Java应用程序不能。该行为的原因是：

• 服务器仅发送最终证书，而不发送整个证书链；
• 该证书是最近购买的，并使用相对较新的中间证书进行了签名；
• 浏览器具有相对最新的证书列表，包括中间证书；
• Java具有相对最新的证书列表，并且中间没有证书。
• 浏览器通过中间证书验证最终证书Java无法检查证书链，因为：1.链未发送；2.最终证书的签署者（中间证书）不是信任锚。

解决方案可以是：

• 服务器返回整个证书链
• 要在Java信任库中添加的中间证书

Answer 1

我相信您已经检查了您的链，因此我们可以认为 RootCert 签署了 IntermediateCert 和 IntermediateCert
签署了 ServerCert ，并带有有效的X500名称链和所有…

就是说，您的逻辑是有效的，只要信任 RootCert 就足够了，但不要忘记，为了构建路径，您的客户端必须在其姿势中拥有路径中的 所有 证书。

在您的情况下，如果您仅信任根证书，则服务器将播发其余证书链（中间证书和最终证书），由服务器决定。如果没有人“向”
HTTP客户端“提供”中间证书，则该客户端将失败，因为从 根 到 服务器 不知道无法进行 中间 操作。

通过使用该-Djavax.net.debug=all选项启动客户端，您实际上可以查看服务器证书链是什么。如果链的长度为1，则您的服务器仅发布最终证书，客户端无法猜测中间证书的存在。

（也可以使用浏览器进行检查，并要求查看服务器证书，但是您应注意，浏览器将向您显示到达信任锚的整个路径，因此，如果要推断服务器链是什么，则必须从此路径中删除浏览器的锚点）。

在生产服务上，您应该访问证书提供者的网站以了解什么被视为根证书（它可能不是最高级别的证书）。此有效根应该是您的客户端的信任锚，并且任何服务器都应从路径中的最后一个（其公用名是服务器的DNS名称）中至少通告链中的所有其他证书。