列出 JVM 信任存储中的证书

Question

我已经通过系统属性定义了一个自定义信任库：

System.setProperty("javax.net.ssl.trustStore", ...);
System.setProperty("javax.net.ssl.trustStorePassword", ...);

鉴于虚拟机已经负责加载文件，我想列出那些已加载的证书。我不想再次将信任库加载到流中并从那里获取证书，而是想查看虚拟机已自行加载的证书。另外，我想从我自己的应用程序中查看它们，而不是使用单独的工具。我已经做了一些谷歌搜索，但到目前为止我还没有找到这个。

Answer 1

使用它们时，JSSE 使用这些设置来构建其默认的 X509TrustManager （覆盖 JRE 默认值）。但是，JSSE API 中没有任何内容可以访问用于构建默认信任管理器的密钥库，因为在 JSSE 架构中，原则上不需要从密钥库构建默认信任管理器。

如果您想读取通过 javax.net.ssl.trustStore* 属性传递的信任存储的内容，您必须自己打开该文件。

您可以找到的最接近的东西是使用默认 TrustManagerFactory 的默认 X509TrustManager。

编辑：

有关更多详细信息，您可以查看 OpenJDK 中的实现。

sun.security.ssl.DefaultSSLContextImpl（不属于公共 API 的一部分）的方法是使用从 TrustManagerFactoryImpl 获取的 KeyStore 来初始化 TrustManagerFactory（这也不属于公共 API 的一部分）：

KeyStore ks = TrustManagerFactoryImpl.getCacertsKeyStore("defaultctx");
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(ks);

这与 TrustManagerFactory 与 tmf.init(null)。这也依赖于默认密钥库，但这已记录在公共 API 中。
事实上，实现（使用 tmf.init(null)）最终会执行相同的操作，如 TrustManagerFactoryImpl（当 keystore 参数为 null 时，engineInit 也会调用 getCacertsKeyStore）。

在这两种情况下，KeyStore 变量不存储在类成员中，它只是一个局部变量，在使用这些初始化方法后无法访问。

生成的 X509TrustManagerImpl 确实包含可信列表证书，但 (a) trustedCerts 是私有成员，并且 (b) 这些都不是 JSSE 公共 API 的一部分。

编辑2：

如果您想要大多数时间可能有效但不能保证有效的东西，这个答案应该有帮助。请注意，默认信任存储是不一定是cacerts。