如何在 java 中使用本地 HTTPS URL？

Question

使用 Java URL 类，我可以连接到外部 HTTPS 服务器（例如我们的生产站点），但使用本地 URL 时会出现以下异常。

"SunCertPathBuilderException: unable to find valid certification path to requested target".

如何获得有效的认证路径？

编辑：我没有使用此 URL 直接创建连接，而是将 URL 传递给 itext PDFReader，然后该 URL 出现连接问题。

Answer 1

您可能需要设置 主机名验证器。 在连接之前，您需要将其添加到连接对象中。

HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
conn.setHostnameVerifier(new HostnameVerifier() {
  public boolean verify(String hostname, SSLSession session) {
    // check hostname/session
    return true;
  }
});
conn.connect();
// read/write...

如果您需要的话，肯定有一些实现。 您可能还想查看 HttpClient 项目。

Answer 2

另一件需要注意的事情是您正在使用的 TrustManager。 该错误消息表明服务器提供的证书未由受信任的根签名。 由于您无法直接控制创建的 SSL 套接字，因此我认为最好的选择是 初始化拥有 SSLContext 和 使用服务器证书链的根 CA 进行设置。 然后将此上下文设置为 默认。

这是假设您使用的是 Java 6。Java 5 中的 API 受到更多限制。您可以获得默认的 SSLSocketFactory，但没有标准的方法来设置它。

Answer 3

它抱怨的问题是，当您创建 SSL 连接时，服务器必须向客户端提供有效的证书。 您可以用 Java 编写适当的端点（我认为 HTTPServerSocket 可以做到），但需要一些技巧来设置它。 使用正确处理 SSL 的任何东西（Apache、lighttp 等）设置本地 Web 服务器可能更容易，并使用 openssl 工具创建自签名证书。

Updated

这是 Java 年鉴中的一个示例。 http://www.exampledepot.com/egs/javax.net。 ssl/Server.html

SSL 服务器套接字需要将其发送给客户端进行身份验证的证书。 证书必须包含在密钥库中，其位置必须明确指定（没有默认值）。 下面的示例描述了如何创建和指定要使用的 SSL 服务器套接字的密钥库。

try {
    int port = 443;
    ServerSocketFactory ssocketFactory = SSLServerSocketFactory.getDefault();
    ServerSocket ssocket = ssocketFactory.createServerSocket(port);

    // Listen for connections
    Socket socket = ssocket.accept();

    // Create streams to securely send and receive data to the client
    InputStream in = socket.getInputStream();
    OutputStream out = socket.getOutputStream();

    // Read from in and write to out...

    // Close the socket
    in.close();
    out.close();
} catch(IOException e) {
}

使用 javax.net.ssl.keyStore 系统属性指定证书的密钥库：

> java -Djavax.net.ssl.keyStore=mySrvKeystore -Djavax.net.ssl.keyStorePassword=123456 MyServer

Answer 4

它还可以帮助您将本地主机服务器正在使用的证书（我假设它是自签名的）添加到 JVM 的 密钥库，使用“keytool “实用程序。 这应该具有告诉 JVM“您可以信任此证书”的效果。

Answer 5

我最终运行了一个静态方法（仅在开发人员上），该方法安装了一个非常信任的 TrustManager （接受所有内容），并且还添加了一个始终返回 true 的 hostnameVerifier （感谢 sblundy）。