我应该使用哪个Java API来实现OCSP支持的证书验证？

Question

存在两个java api引用：

>

http://docs.oracle.com/javase/7/docs/technotes/guides/security/jsse/JSSERefGuide.html

http://docs.oracle.com/javase/7/docs/technotes/guides/security/certpath/CertPathProgGuide.html

在第一个中，有一个关于X509TrustManager接口的描述。我糊涂了。我应该使用它来实现x509证书验证还是必须通过第二个链接？这是我达到目标的标准方法

Answer 1

第二个链接提供了有关CertPath类的文档如何实现您自己的认证路径验证。因此，您必须自己处理整个PKI证书链（例如，验证签名和证书直至根）。此外，它还为您提供了PKIX证书验证的默认算法的信息。

第一个链接显示如何使用TrustManager，它使用PKIX算法。除了使用PKIX进行证书路径验证之外还包含TrustManager建立SSL/TLS通信的更多机制。

TrustManager/PKIX算法还提供了一种撤销机制（CLR和OCSP）。要激活OCSP，请深入了解PKIX TrustManager支持的第一个链接部分。

如果使用init（KeyStore ks）方法，则使用默认的PKIXParameters，但取消检查被禁用。可以通过将系统属性com.sun.net.ssl.check撤销设置为true来启用它。

您必须将安全属性ocsp.enable设置为true。所以基本上，你没有更多的事要做了

System.setProperty("com.sun.net.ssl.checkRevocation", "true");
Security.setProperty("ocsp.enable", "true");

如果您不想重新实现或交换已经随TrustManager和PKIX算法提供的验证链机制，那么您绝对应该使用第一个链接。如果您需要更多关于PKIX算法的信息，实现您自己的或只做认证验证而不建立TLS/SSL通信，那么您应该检查第二个链接。