强制Chrome在TLS期间发送链中的所有证书

Question

        int certificateChainSize= x509Certificates.length;

        // Verifies certificate chain respectively (issuer certificate required).
        CertificateResult response = null;

        try {
            for (int i = 0; i < certificateChainSize-1 ; i++) {
                response = client.verify(x509Certificates[i], x509Certificates[i+1]);
            }
        } catch (OcspException e) {
            e.printStackTrace();
        }

如何强制客户端发送证书链的所有节点？

谢谢

Answer 1

我意识到谷歌Chrome作为客户端一直在发送没有root的证书链。

这是完全正常的，也是唯一正确的行为。

根证书是信任锚，必须是验证证书的一方的本地信任锚。即使发送了它，在验证证书时也应该忽略它，即只应该使用本地信任锚点-否则中间的人可以只提供他自己的证书链，包括他自己的根证书。这意味着在这种情况下，服务器必须已经在本地拥有根证书，因此客户机不需要发送它。