如何在 Axis2 Java 客户端中使用自签名证书？

Question

我使用 org.codehaus.mojo axistools-maven-plugin 插件版本 1.4 生成了代码。我正在尝试通过 https 连接到 Web 服务。我已将服务器证书安装到 jssecacerts 中，并将此密钥存储复制到 /System/Library/Java/JavaVirtualMachines/1.6.0.jdk/Contents/Home/lib/security/ 文件夹中。所以这意味着我在客户端密钥库中有服务器证书。我还将服务器私钥和证书导入到 kestore.ImportKey 密钥存储中。我想我将不得不使用它作为信任存储。现在，如何在 java 客户端中将所有这些连接在一起？ 我在客户端使用自动生成的存根。我尝试使用以下但不起作用。

System.setProperty("javax.net.ssl.trustStore","certs/keystore.ImportKey");
System.setProperty("javax.net.ssl.trustStorePassword", "importkey"); 

我收到以下异常。

faultString: javax.net.ssl.SSLHandshakeException: 
    sun.security.validator.ValidatorException: 
PKIX path building failed: 
    sun.security.provider.certpath.SunCertPathBuilderException:
     unable to find valid certification path to requested target

这些证书有效，因为我在同一主机的 HTTPS 客户端上使用相同的证书。此外，我还能够看到使用相同证书的成功的卷曲请求。实际上，我不确定如何使用自签名服务器证书通过 https 编写 Axis2 Soap Java 客户端。谁能指出我一步一步的例子。

Answer 1

在客户端，您不需要证书私钥来信任服务器。由于您在问题中写道，您在 keystore.ImportKey 中导入了证书和密钥，我认为它们已作为 PrivateKeyEntry 导入（您可以使用 keytool 进行验证 密钥库中条目的类型）。

但是，如果您想使用证书作为信任锚，则应将证书作为 TrustedCertificateEntry 导入。可以使用 keytool 来实现：

keytool -importcert -trustcacerts -alias myTrustAnchor -file /path/to/cert.crt -keystore /path/to/keystore

然后您可以在应用程序中配置信任库：

System.setProperty("javax.net.ssl.trustStore","/path/to/keystore");

Answer 2

谢谢@Jcs

这就是我解决问题的方法。当我尝试在浏览器中打开 Web 服务 URL 时，它要求提供客户端证书。这意味着，因为我已经在 jvm 的 jssecacert 中导入了服务器证书，所以我的客户端缺少客户端证书。因此，我没有设置 javax.net.ssl.trustStore 和 javax.net.ssl.trustStorePassword 属性，而是设置了 javax.net.ssl.keyStore > 和 javax.net.ssl.keyStorePassword 属性并且工作正常。我之前错过了将私钥和证书导入密钥库的事实。 ImportKey 基本上是客户端身份，我很早就从某人那里收到了这些身份，说这些是服务器证书。那误导了我。因此，如果有人正在寻找解决方案，让我总结一下解决方案。

1. 下载服务器证书并导入到系统路径上的 JVM cacerts 或 jssecacerts 中。
   我使用了这篇文章。

2. 在浏览器中打开 Web 服务 URL，如果它要求客户端证书，则意味着服务器已设置为期望来自客户端的证书。如果是自签名证书，您必须已经拥有来自服务器的自签名证书。将这些导入到密钥库中，并在实际调用 Web 服务之前设置密钥库而不是信任库的系统属性，如下所示。这是因为您已经将服务器证书导入到客户端信任存储 (cacerts) 中。

代码：

MySoap12Stub stub = (MySoap12Stub) new MyLocator().getMySoap12(new java.net.URL(WSUrl));

System.setProperty("javax.net.ssl.keyStore", "certs/keystoreQA.Importkey");
System.setProperty("javax.net.ssl.keyStorePassword", "importkey");

此外，在我的例子中，服务器期望将用户令牌和密码设置到 SOAP 标头中。这就是我将其设置到 SOAP 标头中的方式：

((Stub) stub).setHeader(HeaderHandler.getSecurityHeader(User, password));

public class HeaderHandler {

    public static SOAPHeaderElement getSecurityHeader(String user,String password) throws Exception {
        SOAPHeaderElement wsseSecurity = new SOAPHeaderElement(new PrefixedQName(
            "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd",
            "Security", "wsse"));
        wsseSecurity.setActor(null);
        wsseSecurity.setMustUnderstand(true);

        SOAPElement usernameToken = wsseSecurity.addChildElement("UsernameToken", "wsse");
        usernameToken.setAttribute("xmlns:wsu","http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd");
        SOAPElement username = usernameToken.addChildElement("Username", "wsse");
        username.addTextNode(user);

        SOAPElement password = usernameToken.addChildElement("Password", "wsse");
        password.setAttribute("Type","http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#PasswordText");
        password.addTextNode(password);
        return wsseSecurity;
    }
} 

我希望这详细解释了如何在 axis2 客户端中使用用户令牌和密码通过 https 调用 Web 服务时使用自签名证书和 WSSE 用户令牌和密码。

干杯!现在就出发吧。