调用Web服务时信任过期的自签名证书

Question

有一个受证书保护的Web服务。在调用它的客户端代码中，证书的CA必须存在于信任库（JRE_path\lib\security\cacerts）中——如果没有，则客户端会出现PKIX异常。

如果证书过期了会发生什么？客户端代码失败。

但是，可以通过直接将证书添加到信任库中来绕过这一点——信任过期的证书

i、 e.如果信任库中存在证书本身，而不是CA，那么即使证书已过期，一切都可以工作。

在我的场景中，webservice证书是一个自签名的证书，所以我不得不将它添加到信任存储中，即使证书过期，客户端也能继续正常工作。

现在我的问题是，这在所有情况下都有效吗？我的程序只是一个运行本地JRE的命令行程序。

如果有一个调用webservice的应用程序，并且该应用程序正在Websphere、JBoss、WebLogic、Tomcat、Glassfish等平台上运行，并且自签名证书被添加到该环境的truststore中，我是否仍然可以假设它将继续工作（不给出过期的错误）？

我认为它会起作用——因为这些应用服务器也会像任何程序一样使用JRE——或者我遗漏了什么？

Answer 1

回答您的问题：“如果我将自签名证书添加到信任存储中，该证书在过期后仍然受信任吗？还是会引发异常？”

它仍将受到信任（至少在java的cacerts信任存储中）。看见https://softwareengineering.stackexchange.com/a/308538

Answer 2

您可以通过下面的代码
绕过所有证书

try {
            TrustManager[] trustAllCerts = new TrustManager[] { new X509TrustManager() {
                public java.security.cert.X509Certificate[] getAcceptedIssuers() {
                    return null;
                }

                public void checkClientTrusted(java.security.cert.X509Certificate[] certs, String authType) {
                }

                public void checkServerTrusted(java.security.cert.X509Certificate[] certs, String authType) {
                }
            } };
            SSLContext sc = SSLContext.getInstance("SSL");
            sc.init(null, trustAllCerts, new java.security.SecureRandom());

            HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());
            HostnameVerifier allHostsValid = new HostnameVerifier() {
                public boolean verify(String hostname, SSLSession session) {
                    return true;
                }
            };
            SSLContext.setDefault(sc);
            HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);
            LOGGER.debug("All Certificates Have Been Trusted Successfully.");
        } catch (KeyManagementException ex) {
            LOGGER.error("Error:",ex);
        } catch (NoSuchAlgorithmException ex) {
            LOGGER.error("Error:",ex);
        }