无法使用JMOD打包已签名的Java安全提供程序

Question

我正在阅读关于在Java加密体系结构中实现提供者的文档，其中指出

您不能在JMOD文件中打包签名提供程序

该条还指出：

只有提供Cipher、KeyAgreement、KeyGenerator、Mac或SecretKFactory实例的提供商必须签名。如果您的提供者只提供SecureRandom、MessageDigest、Signature、KeyStore等实例，则不需要对提供者进行签名。

我正在尝试使用JDK 11版本开发这个提供者，该版本利用了。jmod文件替换了。jar文件。

我研究了标准安全策略使用的函数，其中许多函数使用密码、密钥协议、密钥生成器、Mac或SecretKeyFactory，但它们以某种方式打包到了。我使用的JDK 11中的jmod格式。

有人能进一步解释吗？

Answer 1

JDK中打包的jmod文件中的提供程序没有“签名”，因为jmod不支持签名。如果你检查一下。带有jmod列表的jmod文件您将找不到任何文件。例如SF签名文件。

我正在尝试使用JDK 11版本开发这个提供者，该版本利用了。jmod文件替换了。jar文件。

注意. jmod文件不是jar文件的完全替换. jmod文件是只链接的工件.从jmod doc：

JMOD文件格式允许您聚合其他文件。类文件、元数据和资源。此格式是可传输但不可执行的，这意味着您可以在编译时或链接时使用它，但不能在运行时使用。

换句话说，与JDK捆绑在一起的jmod文件不是直接加载执行的，而是被馈送到jlink等工具中，这些工具将它们分开并重新打包。这种重新打包会以任何方式使任何签名哈希无效，因此jmod文件需要支持签名的理由更少。

如果您想分发自定义提供者，那么必须使用jar文件分发它们，然后对这些jar文件进行签名。加载提供程序时是否需要签名取决于JDK发行版。

请注意，JDK自己的提供程序不是从捆绑的jmod文件加载的，而是从特定于实现的存档加载的，该存档的有效性通过另一种机制验证。

只有当您想将本机库打包到归档文件中，然后分发归档文件时，才需要使用jmod文件。在这种情况下，用户必须重新打包，然后重新签名他们最终基于jmod文件生成的任何工件。

如果您不需要分发本地库，我的建议是分发. jar文件，它可以用jarsigner签名，然后直接用于执行。正如jmod文档中所述：

注意：对于大多数开发任务，包括在模块路径上部署模块或将它们发布到Maven存储库，继续将模块打包在模块化JAR文件中。jmod工具适用于具有本机库或其他配置文件的模块，或者您打算使用jlink工具链接到运行时映像的模块。