我们认为我们应该使用两个信任库,一个cacerts(默认一个jre附带)和其他包含我们在列表中动态添加/删除的服务器的证书.这将确保我们不修改java的默认TrustStore(cacerts).
请建议如何实现这一目标.
此外,有没有办法只为Java中的特定线程使用特定的信任存储,以便其他(现有的和新的)线程仍应使用默认的java trueststore(cacerts),并且一个特定的线程将使用特定的信任库服务器.
谢谢,
迪帕克
解决方法
SSLContext时完成,SSLContext本身用于创建SSLSocketFactory或SSLEngine.
jSSLutils是一个库,可让您包装现有的信任管理器并自定义某些设置.你不需要它,但它可能有所帮助.
这将遵循这些方针：
PKIXSSLContextFactory sslContextFactory = new PKIXSSLContextFactory();
sslContextFactory.setTrustManagerWrapper(new x509trustmanagerWrapper() {
@Override
public x509trustmanager wrapTrustManager(final x509trustmanager origManager) {
return new x509trustmanager() {
@Override
public X509Certificate[] getAcceptedissuers() {
return origManager.getAcceptedissuers();
}
@Override
public void checkServerTrusted(X509Certificate[] chain,String authType)
throws CertificateException {
try {
// This will call the default trust manager
// which will throw an exception if it doesn't kNow the certificate
origManager.checkServerTrusted(chain,authType);
} catch (CertificateException e) {
// If it throws an exception,check what this exception is
// the server certificate is in chain[0],you Could
// implement a callback to the user to accept/refuse
}
}
@Override
public void checkClientTrusted(X509Certificate[] chain,String authType)
throws CertificateException {
origManager.checkClientTrusted(chain,authType);
}
};
}
});
SSLContext sslContext = sslContextFactory.buildSSLContext();
((PKIX)SSLContextFactory和x509trustmanagerWrapper来自jSSLutils,但其余部分来自J2SE / J2EE.)
您可能想要捕获一些CertificateExceptions(请参阅子类).
如果您对用户进行回调,则SSL / TLS连接可能会因SSL / TLS握手超时而失败(如果回调时间太长而无法回复).
然后,您可以使用SSLContext.setSSLContext(…)(来自Java 6)将此SSLContext用作默认值,但这不一定是个好主意.如果可以,请将SSLContext传递给进行SSL / TLS连接的库.如何做到这一点各不相同,但Apache HTTP Client 4.x有多个选项来配置其SSL设置,其中一个是通过传递KeyStores,另一个是通过传递SSLContext.
通过检查x509trustmanager中的当前线程,您还可以使用每个线程而不是每个要连接的对象(依赖于库)：这可能会使同步和线程管理/“感知”方面的事情变得更复杂一些信托经理.