无需下载证书的Java和HTTPS url连接

Question

这段代码连接到一个HTTPS站点，我假设我没有验证证书。但是为什么我不必为站点在本地安装证书呢？我不应该在本地安装一个证书并加载这个程序吗？还是在封面后面下载？客户端到远程站点之间的流量在传输中是否仍然加密？

import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.io.Reader;
import java.net.URL;
import java.net.URLConnection;
import java.security.cert.X509Certificate;

import javax.net.ssl.HostnameVerifier;
import javax.net.ssl.HttpsURLConnection;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLSession;
import javax.net.ssl.TrustManager;
import javax.net.ssl.X509TrustManager;

public class TestSSL {

    public static void main(String[] args) throws Exception {
        // Create a trust manager that does not validate certificate chains
        TrustManager[] trustAllCerts = new TrustManager[] { new X509TrustManager() {
            public java.security.cert.X509Certificate[] getAcceptedIssuers() {
                return null;
            }
            public void checkClientTrusted(X509Certificate[] certs, String authType) {
            }
            public void checkServerTrusted(X509Certificate[] certs, String authType) {
            }
        } };
        // Install the all-trusting trust manager
        final SSLContext sc = SSLContext.getInstance("SSL");
        sc.init(null, trustAllCerts, new java.security.SecureRandom());
        HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());
        // Create all-trusting host name verifier
        HostnameVerifier allHostsValid = new HostnameVerifier() {
            public boolean verify(String hostname, SSLSession session) {
                return true;
            }
        };

        // Install the all-trusting host verifier
        HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);

        URL url = new URL("https://www.google.com");
        URLConnection con = url.openConnection();
        final Reader reader = new InputStreamReader(con.getInputStream());
        final BufferedReader br = new BufferedReader(reader);        
        String line = "";
        while ((line = br.readLine()) != null) {
            System.out.println(line);
        }        
        br.close();
    } // End of main 
} // End of the class //

Answer 1

您不必在本地加载证书的原因是您已明确选择不使用信任所有证书的信任管理器来验证证书。

流量仍将被加密，但您打开了与中间人攻击的连接：您正在与某人秘密通信，您只是不确定它是您期望的服务器，还是可能的攻击者。

如果您的服务器证书来自一个著名的CA，它是与JRE捆绑在一起的CA证书默认包的一部分（通常是cacerts文件，请参阅JSSE参考指南），您可以只使用默认的信任管理器，而不必在这里设置任何内容。

如果您有一个特定的证书（自签名或来自您自己的CA），您可以使用默认的信任管理器，也可以使用一个使用特定信任存储初始化的信任管理器，但是您必须在信任存储中显式地导入证书（在独立验证之后），如本答案所述。你可能也会对这个答案感兴趣。