Spring security x.509身份验证-根据证书颁发机构接受证书

Question

我使用Spring Security使用x.509证书进行身份验证，它仅在浏览器密钥存储库中配置的客户端证书存在于服务器信任存储库中时才工作。

它目前是如何工作的：

• 我已将SSL客户端身份验证配置为可选（server.SSL.client auth=want，如本文所示）
• 我已经配置了一个包含所有客户端证书的服务器信任存储。如果客户端提供的证书位于信任存储中，则会创建相互SSL连接
• 当我的客户端证书出现在服务器端信任存储中时，Firefox会打开一个带有我的客户端证书的弹出窗口，我可以选择这些证书，并建立相互SSL连接
• 我已将Spring Security配置为从客户端证书的SubjectDN中提取用户名，并将其与UserDetailsService进行检查。如果为该用户名返回UserDetails对象，则身份验证过程将成功完成

问题是，如果我从服务器端信任存储中删除客户端证书，Firefox将不再打开此弹出窗口，并且只建立单向SSL连接。即使根CA证书存在于服务器信任存储中。

我想要的：

• 仅在服务器信任存储区中存储根证书颁发机构的证书

我还对互联网上的两个资源感兴趣。在关于Baeldung的本教程中，它说所有客户端证书必须存储在服务器信任存储中，X.509 auth才能工作（这证实了我的经验）。

您必须记住，对于每个应该由服务器验证的用户，它自己的证书需要安装在配置的信任存储中。对于只有几个客户端的小应用程序，这可能是可行的，因为随着客户端数量的增加，这可能会导致用户复杂的密钥管理。

然而，@robinhowlett的这篇教程说

客户机将在其密钥库中向服务器出示其证书，服务器将使用服务器信任库中的CA证书验证客户机证书链。

这基本上是我想实现的，但我不能。

一句话：是否有人在服务器信任存储中存储了一个或多个根CA证书，并使用这些根CA颁发的客户端证书在Spring Security中通过X.509相互SSL握手进行身份验证？

我使用的是Spring Boot 1.5.2. RELEASE（Spring-security-web 4.2.2. RELEASE）。我已经用Firefox 53测试了我的工作SSL身份验证。

Answer 1

我发现了我的问题——我在服务器运行时（在我的例子中是Tomcat）修改了信任存储（删除客户端证书，只留下CA证书）。但是信任存储被保存在内存中，并且在JVM初始化时只读取一次（详细信息见本文）。因此，Tomcat不会在运行时读取信任存储更改。

所以答案很简单：是的，如果信任存储中只存在CA证书，则在SSL握手期间，服务器会与浏览器通信，它希望客户端证书由受信任的CA颁发，然后浏览器会提示用户选择由受信任的CA颁发的证书（如果浏览器密钥库中存在此类证书）。

但是，如果在服务器启动和运行时将CA动态添加到服务器信任存储中，则不会检测到它。新CA只有在服务器重新启动（JVM重新初始化）后才能被识别。