如何将Curl SSL请求转换为Java代码

Question

Curl允许通过指定证书和私钥文件来发出双向SSL请求，如下面的两个curl请求

>

首先获取访问令牌：

$ curl https://connect2.server.com/auth/token < br >-H "授权:Basic $ Basic _ AUTH " < br >-cert ~/certs/cert path/full chain . PEM < br >-key ~/certs/cert path/privkey . PEM

然后使用令牌访问API:

$ curl https://connect2.server.com/api/public/preview1/orgs/$ORGUUID/API -
H “Authorization： Bearer $ACCESS_TOKEN” --cert ~/certs/certpath/
fullchain.pem -
-key ~/certs/certpath/privkey.pem

问题:

如何在Java中实现上述请求？需要什么库？Java似乎使用p12文件，但是，我们有.pem文件。

Answer 1

以下是步骤

步骤1。将PEM证书转换为P12格式

openssl pkcs12 -export -out cacert.p12 -inkey /etc/letsencrypt/archive/server/privkey21.pem -in /etc/letsencrypt/archive/server/cert21.pem -certfile /etc/letsencrypt/archive/server/chain21.pem -passin pass:PWD -passout pass:PWD

步骤2。（可选，不需要）将证书P12转换为JKS格式

keytool -importkeystore -srckeystore cacert.p12 -srcstoretype pkcs12 -destkeystore cacert.jks

第3步。通过SSLSocketFactory将证书添加到HTTP POST请求

/**
* This function is responsible to create createSSLSocketFactory with SSL certificate
* @return
*/
public static SSLSocketFactory createSSLSocketFactory(){
      try 
      {
             FileInputStream f5 = new FileInputStream(new File("/etc/letsencrypt/archive/server/cacert21.p12"));
             KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
             KeyStore ks1 = KeyStore.getInstance(KeyStore.getDefaultType());
             ks1.load(f5, "PWD".toCharArray());
             kmf.init(ks1, "PWD".toCharArray());
             
             SSLContext sslContext = SSLContext.getInstance("SSL");
             sslContext.init(kmf.getKeyManagers(), null, null);
             
             f5.close();
             return sslContext.getSocketFactory();
      }
      catch (Exception e) {
             e.printStackTrace();
             return null;
      }
}

Answer 2

1.您可以使用openssl pkcs12-index将PEM私有密钥加链转换为PKCS12文件。这不是编程或开发，这里不再是主题，但是这里有几十个关于这个的问题，可以追溯到很多年前，当时主题更广泛，以及在其他堆栈中（security.SX、服务器故障、超级用户，也许更多）。

‌2.如果您没有或不喜欢OpenSSL，您可以使用以下软件将这些文件（以及其他文件）读取到任何类型的Java密钥库（JCEKS、JKS、PKCS12和您可能不想要的几个BouncyCastle变体）中https://www.keystore-explorer.org . 这也是离题的，我看到一些现有的Q提到了这一点，但并不多。

‌3.如果你想用你自己的代码来做这件事，这是ontopic，并且假设你的curl使用OpenSSL或者至少那些文件是OpenSSL格式:

3.0 Java可以使用< code > certificate factory . getinstance(" x . 509 ")读取PEM证书序列，然后< code >生成certificates(InputStream)(注s) -该文档有点粗略，但该方法实际上可以将单独的证书处理为DER或PEM(显然已经有了)，或者将包含证书的PKCS7处理为单个blob(通常称为p7b或p7c)，同上。

3.1如果该私钥文件是PKCS8未加密的，即如果PEM标签是＜code＞BEGIN/END PRIVATE KEY＜/code＞，并且两者之间没有其他单词，则这种情况可以由标准Java处理，假设您知道它是用于什么算法（如有必要，您可以从第一个=leaf证书中确定）。删除BEGIN/END行，并忽略换行符（使用base64.getMimeDecoder（））或在删除换行符后使用.getDecoder。将结果放入PKCS8EncodedKeySpec中，并将其馈送到KeyFactory实例中的generatePrivate以获取正确的算法。

3.2 BouncyCastle（bcpkix bcprov）可以通过PEMParser和JcaPEMKeyConverter读取OpenSSL使用的所有私有密钥的PEM格式，如果适用，还可以使用DecryptorBuilder。您可以使用这个相当独特的类名找到许多现有的Qs。这确实意味着对Bouncy的依赖。

3.3如果你没有或不想要Bouncy，并且有一种不是PKCS8未加密的格式，生活就会变得更加艰难。你可以通过使用OpenSSL将私钥文件转换为PKCS8未加密来避免这种情况，让你回到#3.1，但是如果你这样做了，你还不如回到#1，使用OpenSSL一次将批次转换为PKCS12。

>

如果你有一个OpenSSL“传统”算法特定的格式，如BEGIN/END RSA PRIVATE KEY或BEGIN/END ECPRIVATE KEY，并且BEGIN后面的前两行不是Proc类型：4和DEK-info，你可以通过在前面添加一个（DER）前缀来指定算法并“包装”特定于算法的部分，从而对正文进行base64解码并将其转换为PKCS8。我认为这有骗局，但我目前找不到;如果这种情况适用并且您确定了算法，我将添加它。

如果你有一个“传统”格式，确实有Proc类型：4和DEK-info，或者你有开始/结束加密的私钥，这些是加密的。仅使用标准 Java 来理解它们是一项相当多的工作，只有当您无法使用其他选项并准确指定您的情况时，我才会这样做。