在 Java 中将 HTTPS 与 REST 结合使用

Question

我有一个用 Grizzly 制作的 REST 服务器，它使用 HTTPS，并且与 Firefox 配合得很好。代码如下：

//Build a new Servlet Adapter.
ServletAdapter adapter=new ServletAdapter();
adapter.addInitParameter("com.sun.jersey.config.property.packages", "My.services");
adapter.addInitParameter(ResourceConfig.PROPERTY_CONTAINER_REQUEST_FILTERS, SecurityFilter.class.getName());
adapter.setContextPath("/");
adapter.setServletInstance(new ServletContainer());

//Configure SSL (See instructions at the top of this file on how these files are generated.)
SSLConfig ssl=new SSLConfig();
String keystoreFile=Main.class.getResource("resources/keystore_server.jks").toURI().getPath();
System.out.printf("Using keystore at: %s.",keystoreFile);
ssl.setKeyStoreFile(keystoreFile);
ssl.setKeyStorePass("asdfgh");

//Build the web server.
GrizzlyWebServer webServer=new GrizzlyWebServer(getPort(9999),".",true);

//Add the servlet.
webServer.addGrizzlyAdapter(adapter, new String[]{"/"});

//Set SSL
webServer.setSSLConfig(ssl);

//Start it up.
System.out.println(String.format("Jersey app started with WADL available at "
  + "%sapplication.wadl\n",
        "https://localhost:9999/"));
webServer.start();

现在，我尝试用 Java 访问它：

SSLContext ctx=null;
try {
    ctx = SSLContext.getInstance("SSL");
} catch (NoSuchAlgorithmException e1) {
    e1.printStackTrace();
}
ClientConfig config=new DefaultClientConfig();
config.getProperties().put(HTTPSProperties.PROPERTY_HTTPS_PROPERTIES, new HTTPSProperties(null,ctx));
WebResource service=Client.create(new DefaultClientConfig()).resource("https://localhost:9999/");

//Attempt to view the user's page.
try{
    service
        .path("user/"+username)
        .get(String.class);
}

并得到：

com.sun.jersey.api.client.ClientHandlerException: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
 at com.sun.jersey.client.urlconnection.URLConnectionClientHandler.handle(URLConnectionClientHandler.java:128)
 at com.sun.jersey.api.client.Client.handle(Client.java:453)
 at com.sun.jersey.api.client.WebResource.handle(WebResource.java:557)
 at com.sun.jersey.api.client.WebResource.get(WebResource.java:179)

从我在网上找到的示例来看，我似乎需要设置一个 Truststore，然后设置某种 TrustManager。对于我的简单小项目来说，这似乎有很多代码和设置工作。有没有更简单的方法可以说..我信任这个证书并指向 .cert 文件？

Answer 1

当您说“是否有更简单的方法来...信任此证书”时，这正是您通过将证书添加到 Java 信任存储中所做的事情。这非常非常容易做到，您无需在客户端应用程序中执行任何操作即可识别或使用该信任存储。

在您的客户端计算机上，找到您的 cacerts 文件所在的位置（这是您的默认 Java 信任存储，默认情况下位于/lib/security/certs/cacerts。

然后，键入以下内容

keytool -import -alias <Name for the cert> -file <the .cer file> -keystore <path to cacerts>

： 您的客户端应用程序将能够毫无问题地连接到 Grizzly HTTPS 服务器。

将证书导入到您的信任存储中，之后，如果您不想将证书导入到默认信任存储中， 它可供该客户端应用程序使用，但不适用于您在该计算机上的 JVM 上运行的任何其他应用程序 - 那么您可以仅为您的应用程序创建一个新的信任存储，而不是将 keytool 传递到现有的默认 cacerts 的路径。文件，将 keytool 传递到新信任存储文件的路径：

keytool -import -alias <Name for the cert> -file <the .cer file> -keystore <path to new trust store>

系统会要求您设置并验证信任存储文件的新密码然后，当您启动客户端应用程序时，使用以下参数启动它：

java -Djavax.net.ssl.trustStore=<path to new trust store> -Djavax.net.ssl.trustStorePassword=<trust store password>

Easy cheesy，真的。

Answer 2

这是痛苦的路线：

    SSLContext ctx = null;
    try {
        KeyStore trustStore;
        trustStore = KeyStore.getInstance("JKS");
        trustStore.load(new FileInputStream("C:\\truststore_client"),
                "asdfgh".toCharArray());
        TrustManagerFactory tmf = TrustManagerFactory
                .getInstance("SunX509");
        tmf.init(trustStore);
        ctx = SSLContext.getInstance("SSL");
        ctx.init(null, tmf.getTrustManagers(), null);
    } catch (NoSuchAlgorithmException e1) {
        e1.printStackTrace();
    } catch (KeyStoreException e) {
        e.printStackTrace();
    } catch (CertificateException e) {
        e.printStackTrace();
    } catch (FileNotFoundException e) {
        e.printStackTrace();
    } catch (IOException e) {
        e.printStackTrace();
    } catch (KeyManagementException e) {
        e.printStackTrace();
    }
    ClientConfig config = new DefaultClientConfig();
    config.getProperties().put(HTTPSProperties.PROPERTY_HTTPS_PROPERTIES,
            new HTTPSProperties(null, ctx));

    WebResource service = Client.create(config).resource(
            "https://localhost:9999/");
    service.addFilter(new HTTPBasicAuthFilter(username, password));

    // Attempt to view the user's page.
    try {
        service.path("user/" + username).get(String.class);
    } catch (Exception e) {
        e.printStackTrace();
    }

必须喜欢那六个不同的捕获异常:)。当然有一些重构可以稍微简化代码。但是，我喜欢虚拟机上 delfuego 的 -D 选项。我希望有一个可以设置的 javax.net.ssl.trustStore 静态属性。只需两行代码就完成了。有人知道那会在哪里吗？

这可能要求太多，但是，理想情况下不会使用 keytool。相反，trustedStore 将由代码动态创建，并在运行时添加证书。

一定有更好的答案。

Answer 3

需要记住的是，此错误不仅仅是由于自签名证书造成的。新的 Entrust CA 证书因相同的错误而失败，正确的做法是使用适当的根证书更新服务器，而不是禁用这一重要的安全功能。

Answer 4

请查看：http://code.google.com/p/resting/。我可以利用休息来消耗
HTTPS REST 服务。

Answer 5

delfuego的答案是解决证书问题最简单的方法。但是，就我而言，我们的第三方网址之一（使用 https）每 2 个月自动更新一次他们的证书。这意味着我还必须每 2 个月手动将证书导入到我们的 Java 信任存储中。有时它会导致生产问题。

因此，我使用 SecureRestClientTrustManager 制定了一种方法来解决此问题，以便能够在不导入证书文件的情况下使用 https url。
方法如下：

     public static String doPostSecureWithHeader(String url, String body, Map headers)
            throws Exception {
        log.info("start doPostSecureWithHeader " + url + " with param " + body);
        long startTime;
        long endTime;
        startTime = System.currentTimeMillis();
        Client client;
        client = Client.create();
        WebResource webResource;
        webResource = null;
        String output = null;
        try{
            SSLContext sslContext = null;
            SecureRestClientTrustManager secureRestClientTrustManager = new SecureRestClientTrustManager();
            sslContext = SSLContext.getInstance("SSL");
            sslContext
            .init(null,
                    new javax.net.ssl.TrustManager[] { secureRestClientTrustManager },
                    null);
            DefaultClientConfig defaultClientConfig = new DefaultClientConfig();
            defaultClientConfig
            .getProperties()
            .put(com.sun.jersey.client.urlconnection.HTTPSProperties.PROPERTY_HTTPS_PROPERTIES,
                    new com.sun.jersey.client.urlconnection.HTTPSProperties(
                            getHostnameVerifier(), sslContext));

            client = Client.create(defaultClientConfig);
            webResource = client.resource(url);

            if(headers!=null && headers.size()>0){
                for (Map.Entry entry : headers.entrySet()){
                    webResource.setProperty(entry.getKey(), entry.getValue());
                }
            }
            WebResource.Builder builder = 
                    webResource.accept("application/json");
            if(headers!=null && headers.size()>0){
                for (Map.Entry entry : headers.entrySet()){
                    builder.header(entry.getKey(), entry.getValue());
                }
            }

            ClientResponse response = builder
                    .post(ClientResponse.class, body);
            output = response.getEntity(String.class);
        }
        catch(Exception e){
            log.error(e.getMessage(),e);
            if(e.toString().contains("One or more of query value parameters are null")){
                output="-1";
            }
            if(e.toString().contains("401 Unauthorized")){
                throw e;
            }
        }
        finally {
            if (client!= null) {
                client.destroy();
            }
        }
        endTime = System.currentTimeMillis();
        log.info("time hit "+ url +" selama "+ (endTime - startTime) + " milliseconds dengan output = "+output);
        return output;
    }