[个人翻译]Java HTTP工具类的客户端证书认证

1. 概述

HTTPS 是 HTTP 的扩展，它允许计算机网络中两个实体之间的安全通信。HTTPS 使用TLS（传输层安全）协议来实现安全连接。

TLS 可以通过单向或双向证书验证来实现。在一种方式中，服务器共享其公共证书，以便客户端可以验证它是受信任的服务器。另一种方法是双向验证。客户端和服务器共享他们的公共证书来验证彼此的身份。

本文将重点介绍双向证书验证，其中服务器也会检查客户端的证书。

2. Java 和 TLS 版本

TLS 1.3 是该协议的最新版本。此版本的性能和安全性更高。它具有更高效的握手协议并使用现代加密算法。

Java 从 Java 11 开始支持这个版本的协议。我们将使用这个版本来生成证书并实现一个简单的客户端-服务器对，使用 TLS 来相互验证。

3.用Java生成证书

由于我们正在进行双向TLS 身份验证，因此我们需要为客户端和服务器生成证书。

在生产环境中，建议从证书颁发机构购买证书。但是，出于测试或演示目的，使用自签名证书就足够了。对于本文，我们将使用 Java 的keytool来生成自签名证书。

3.1. 服务器证书

首先， 我们生成服务器密钥库：

keytool -genkey -alias serverkey -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore serverkeystore.p12 -storepass password -ext san=ip:127.0.0.1,dns:localhost

我们使用*keytool -ext*选项设置主题备用名称 (SAN) 以定义标识服务器的本地主机名/IP 地址。通常，我们可以使用此选项指定多个地址。但是，客户端将被限制使用这些地址之一连接到服务器。

接下来，我们将证书导出到文件server-certificate.pem：

keytool -exportcert -keystore serverkeystore.p12 -alias serverkey -storepass password -rfc -file server-certificate.pem

最后，我们将服务器证书添加到客户端的信任库中：

keytool keytool -import -trustcacerts -file server-certificate.pem -keypass password -storepass password -keystore clienttruststore.jks

3.2. 客户证书

同样，我们生成客户端密钥存储并导出其证书：

keytool -genkey -alias clientkey -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore clientkeystore.p12 -storepass password -ext san=ip:1`27.0.0.1,dns:localhost

keytool -exportcert -keystore clientkeystore.p12 -alias clientkey -storepass password -rfc -file client-certificate.pem

keytool keytool -import -trustcacerts -file client-certificate.pem -keypass password -storepass password -keystore servertruststore.jks

在最后一个命令中， 我们将客户端的证书添加到服务器信任库。

4.服务器Java实现

使用 java 套接字服务器实现是微不足道的。该SSLSocketEchoServer类获取一个SSLServerSocket能够方便地支持TLS认证。我们只需要指定密码和协议，其余的只是一个标准的回显服务器，它回复客户端发送的相同消息：

public class SSLSocketEchoServer {

    static void startServer(int port) throws IOException {

        ServerSocketFactory factory = SSLServerSocketFactory.getDefault();
        try (SSLServerSocket listener = (SSLServerSocket) factory.createServerSocket(port)) {
            listener.setNeedClientAuth(true);
            listener.setEnabledCipherSuites(new String[] { "TLS_AES_128_GCM_SHA256" });
            listener.setEnabledProtocols(new String[] { "TLSv1.3" });
            System.out.println("listening for messages...");
            try (Socket socket = listener.accept()) {

                InputStream is = new BufferedInputStream(socket.getInputStream());
                byte[] data = new byte[2048];
                int len = is.read(data);

                String message = new String(data, 0, len);
                OutputStream os = new BufferedOutputStream(socket.getOutputStream());
                System.out.printf("server received %d bytes: %s%n", len, message);
                String response = message + " processed by server";
                os.write(response.getBytes(), 0, response.getBytes().length);
                os.flush();
            }
        }
    }
}

服务器侦听客户端连接。*listener.setNeedClientAuth(true)***的调用要求客户端与服务器共享其证书*。在后台，SSLServerSocket*实现使用 TLS 协议对客户端进行身份验证。

在我们的例子中，自签名客户端证书位于服务器信任存储区中，因此套接字将接受连接。服务器继续使用InputStream读取消息。然后它使用输出流来回显附加确认的传入消息。

5.客户端Java实现

与我们对服务器所做的相同，客户端实现是一个简单的SSLScocketClient类：

public class SSLScocketClient {

    static void startClient(String host, int port) throws IOException {

        SocketFactory factory = SSLSocketFactory.getDefault();
        try (SSLSocket socket = (SSLSocket) factory.createSocket(host, port)) {

            socket.setEnabledCipherSuites(new String[] { "TLS_AES_128_GCM_SHA256" });
            socket.setEnabledProtocols(new String[] { "TLSv1.3" });

            String message = "Hello World Message";
            System.out.println("sending message: " + message);
            OutputStream os = new BufferedOutputStream(socket.getOutputStream());
            os.write(message.getBytes());
            os.flush();

            InputStream is = new BufferedInputStream(socket.getInputStream());
            byte[] data = new byte[2048];
            int len = is.read(data);
            System.out.printf("client received %d bytes: %s%n", len, new String(data, 0, len));
        }
    }
}

首先，我们创建一个SSLSocket来与服务器建立连接。在后台，socket会建立TLS连接建立握手。作为此握手的一部分，客户端将验证服务器的证书并检查它是否在客户端*信任库中*。

成功建立连接后，客户端使用输出流向服务器发送消息。然后它使用输入流读取服务器的响应。

6. 运行应用程序

要运行服务器，请打开命令窗口并运行：

java -Djavax.net.ssl.keyStore=/path/to/serverkeystore.p12 \ 
  -Djavax.net.ssl.keyStorePassword=password \
  -Djavax.net.ssl.trustStore=/path/to/servertruststore.jks \ 
  -Djavax.net.ssl.trustStorePassword=password \
  com.baeldung.httpsclientauthentication.SSLSocketEchoServer

我们为javax.net.ssl指定系统属性*。密钥库和javax.net.ssl。trustStore指向我们之前使用keytool创建的serverkeystore.p12和servertruststore.jks*文件。

要运行客户端，我们打开另一个命令窗口并运行：

java -Djavax.net.ssl.keyStore=/path/to/clientkeystore.p12 \ 
  -Djavax.net.ssl.keyStorePassword=password \ 
  -Djavax.net.ssl.trustStore=/path/to/clienttruststore.jks \ 
  -Djavax.net.ssl.trustStorePassword=password \ 
  com.baeldung.httpsclientauthentication.SSLScocketClient   

同样，我们设置了javax.net.ssl.keyStore和*javax.net.ssl。*trustStore系统属性指向我们之前使用keytool生成的clientkeystore.p12和clienttruststore.jks文件。

7. 结论

我们编写了一个简单的客户端-服务器 Java 实现，它使用服务器和客户端证书进行双向 TLS 身份验证。

我们使用keytool生成自签名证书。

示例的源代码可以在 GitHub 上找到。