如何强制 jarsign 签署 jar 文件？

Question

我们的产品在 Java 版本 1.5.0_13 处停止，我们想要升级。 我们的软件通过Java Web Start部署大量的jar； 所有这些罐子都必须签名。 但是，有几个 jar 不包含类文件，并且从 Java 版本 1.5.0_14 开始，jarsign 实用程序似乎选择不对任何不包含类文件的 jar 进行签名。

我该怎么做才能强制 jarsign 对这些 jar 进行签名？ 或者我可以做什么来通过 Java Web Start 分发这些 jar 而不对其进行签名？ 是否有任何地方记录了 1.5.0_14 及以上版本对 jarsign 的更改？ 我在发行说明中找不到它。

Answer 1

我无法验证是否存在任何问题。 您能仔细看看您的环境中可能有什么不同吗？ 我在 Windows 7 RC 上运行。

让我们检查一下版本：

C:\temp>java -version
java version "1.5.0_14"
Java(TM) 2 Runtime Environment, Standard Edition (build 1.5.0_14-b03)
Java HotSpot(TM) Client VM (build 1.5.0_14-b03, mixed mode, sharing)

让我们看看 jar 中会有什么：

C:\temp>dir /s /b com
C:\temp\com\rdc
C:\temp\com\rdc\test
C:\temp\com\rdc\test\logging.properties

让我们制作 jar：

C:\temp>jar -cfv test-source.jar com/*
added manifest
adding: com/rdc/(in = 0) (out= 0)(stored 0%)
adding: com/rdc/test/(in = 0) (out= 0)(stored 0%)
adding: com/rdc/test/logging.properties(in = 13) (out= 15)(deflated -15%)

让我们对 jar 进行签名： 我正在使用自签名证书。

C:\temp>jarsigner -signedjar test-dest.jar test-source.jar vinay
Enter Passphrase for keystore:

Warning: The signer certificate will expire within six months.

让我们看看我们签名的 jar 中有什么：

C:\temp>jar tvf test-dest.jar
   155 Wed Jul 15 23:39:12 BST 2009 META-INF/MANIFEST.MF
   276 Wed Jul 15 23:39:12 BST 2009 META-INF/VINAY.SF
  1130 Wed Jul 15 23:39:12 BST 2009 META-INF/VINAY.DSA
     0 Wed Jul 15 23:37:18 BST 2009 META-INF/
     0 Wed Jul 15 19:44:44 BST 2009 com/rdc/
     0 Wed Jul 15 19:44:58 BST 2009 com/rdc/test/
    13 Wed Jul 15 23:37:10 BST 2009 com/rdc/test/logging.properties

好的，它看起来确实已经被签名了，而且它没有类。 让我们看看 MANIFEST.MF 的内容：

Manifest-Version: 1.0
Created-By: 1.5.0_14 (Sun Microsystems Inc.)

Name: com/rdc/test/logging.properties
SHA1-Digest: Ob/S+a7TLh+akYGEFIDugM12S88=

以及 VINAY.SF 的内容：

Signature-Version: 1.0
Created-By: 1.5.0_14 (Sun Microsystems Inc.)
SHA1-Digest-Manifest-Main-Attributes: 4bEkze9MHmgfBoY+fnoS1V9bRPs=
SHA1-Digest-Manifest: YB8QKIAQPjEYh8PkuGA5G8pW3tw=

Name: com/rdc/test/logging.properties
SHA1-Digest: qXCyrUvUALII7SBNEq4R7G8lVQQ=

现在，让我们验证一下 jar：

C:\temp>jarsigner -verify -verbose test-dest.jar

         155 Wed Jul 15 23:51:34 BST 2009 META-INF/MANIFEST.MF
         276 Wed Jul 15 23:51:34 BST 2009 META-INF/VINAY.SF
        1131 Wed Jul 15 23:51:34 BST 2009 META-INF/VINAY.DSA
           0 Wed Jul 15 23:37:18 BST 2009 META-INF/
           0 Wed Jul 15 19:44:44 BST 2009 com/rdc/
           0 Wed Jul 15 19:44:58 BST 2009 com/rdc/test/
smk       13 Wed Jul 15 23:37:10 BST 2009 com/rdc/test/logging.properties

  s = signature was verified
  m = entry is listed in manifest
  k = at least one certificate was found in keystore
  i = at least one certificate was found in identity scope

jar verified.

Warning: This jar contains entries whose signer certificate will expire within
six months. Re-run with the -verbose and -certs options for more details.

从表面上看，一切似乎都在命令。 您可以检查您的证书是否已过期或被吊销吗？ 您使用的是自签名证书还是真实证书？ 或者我误解了你的问题是什么？

Answer 2

对于任何搜索此问题的人，我们确定它只影响 Java 1.5 的某些更高版本，我相信是从 1.5.0_14 开始的版本。 它似乎在最新版本的 1.5 中已修复，并且在 1.6 中肯定已修复。

Answer 3

如果需要，您可以放入虚拟类文件。 可能令人厌恶，但也许是必要的。

Answer 4

顺便说一句，我尝试了与 Vinay 相同的操作，但使用了 JDK 1.5.0_17 jarsigner 和正确的 Verisign 证书，并得到了相同的结果。 Jarsigner 工作了，并且使用 jarsigner -verify 验证了 jar。

Answer 5

添加一下：我正在使用 Java Web Start，并且我有一个仅包含图像的 jar。
使用 JDK 1.6_05（也包括 07、10）和 Ant 一代，它的签名没有问题（使用自签名证书）。
因此，就像其他人所描述的那样，它似乎没有链接到包含 .class 文件的 jar。

Answer 6

虽然可能性不大，但 Ant SignJar 任务 或许能够说服 jarsign做正确的事。 有很多选择可能会打破平衡。