如何使用JavaWebstart应用程序管理证书更新

Question

我正在使用Java Webstart技术开发一个Java桌面应用程序。我使用有效的证书对我的应用程序进行签名，并使用JnlpDownloadServlet进行部署。我用maven webstart插件准备了所有这些基础设施。

但是当我的证书过期，我不得不辞职并重新部署我的应用程序时，我在让webstart完全重新下载我的应用程序时遇到了问题。

据我所知，根据我可以从Internet收集的内容（Webstart官方留档很糟糕），默认情况下webstart会根据文件服务器时间检查版本并更新库（Last-Modified HTTP标头）

如果这是真的，webstart客户端应该下载我的应用程序的全新版本。

但相反，webstart只是在maven webstart插件生成它们时下载JNLP文件中具有较新版本号的库。

应用程序无法启动，抱怨不同的签名JAR，当我查看tomcat访问日志时，服务器中唯一检查和加载的文件是JNLP文件、具有真正更新版本的JAR和另一个JAR（我假设这是一个下载、签名检查并使客户端失败的JAR）。所有请求都是GET，没有头

我没有在JNLP中使用基于版本的协议（由jnlp.version启用属性激活）但webstart客户端的行为就像它处于开启状态一样。

我的JNLP更新选项是

<update check="always" policy="always" />

我看到的唯一解决方案是更新所有JAR的版本号，在版本号后面添加一些内容，但JNLP“渲染”是由webstart插件自动完成的，我更喜欢一种更简单、更健壮的方法。

思想？

编辑：看起来基于版本的下载协议正在被触发，因为JNLP文件中的jar元素具有version属性。这是由webstart插件自动添加的。在管理依赖项版本时，这是一个很好的功能。但如果你只是想更新签名，那就太痛苦了。

Answer 1

我发现，由于1.5 Java支持验证带有时间戳的过期签名：

http://docs.oracle.com/javase/tutorial/deployment/jar/signing.html

这里也有很好的解释：https://stackoverflow.com/a/24178906/134898

幸运的是，maven webstart插件从版本1.0-beta5开始就支持这一点：

    <sign>
        <storetype>pkcs12</storetype>
        ...
        <tsaLocation>https://timestamp.geotrust.com/tsa</tsaLocation>
    </sign>

现在，只要时间戳有效，webstart客户端就会接受应用程序，即使我的签名证书过期。（我使用私有CA证书和过期的签名证书进行了测试）

我将继续使用基于webstart版本的协议对我的库进行真正的更改，这将触发独立的JAR下载，一切都很好，世界也很美好。