OpenWebStart是否支持Java应用代码签名的多签名方案？

是可以实现多证书签名的，OpenWebStart及底层JNLP机制支持JAR文件使用不同有效证书签名，以下是具体方案和注意事项：

1. JAR文件的多签名实现 #

Java原生支持给单个JAR添加多个签名，可通过jarsigner工具多次签名同一JAR，每次使用不同证书：

# 先用Sig1证书签名
jarsigner -keystore keystore-sig1.jks Jar-B.jar sig1-alias
# 再用Sig2证书签名，实现双签名共存
jarsigner -keystore keystore-sig2.jks Jar-B.jar sig2-alias

签名后的JAR会包含多个签名条目，Java运行时只要其中一个签名的证书有效（带时间戳则仅需签名时证书未过期），就会认可该JAR的合法性。

2. OpenWebStart的多证书兼容配置 #

默认校验逻辑要求所有JAR用同一证书，可通过以下方式调整：

• JNLP文件配置：确保<security>元素设置为<security><all-permissions/></security>，无需绑定单一证书的codebase限制。
• 信任库配置：在OpenWebStart的设置中添加所有签名证书对应的信任CA，只要各JAR的签名证书均被信任，即使不同JAR用不同证书，也能通过校验。

3. 平滑过渡的签名策略（匹配你的时间线） #

你提出的逐步切换证书的场景完全可行：

• Time-1 ~ Time-2：所有JAR使用Sig1签名，保持统一。
• Time-2 ~ Time-3：对需切换的JAR（如Jar-C）添加Sig2签名，此时JAR同时携带Sig1和Sig2，两种证书均可通过验证，实现新旧版本兼容。
• Time-3 ~ Time-4：逐步移除旧的Sig1签名，最终所有JAR仅用Sig2签名，完成证书切换。
  这种方式避免了一次性更新所有JAR的压力，适合多团队、多供应商维护的应用。

4. 关键注意事项 #

• 所有签名证书需有效（或带有合法时间戳，确保签名时证书未过期），且被OpenWebStart信任库认可。
• 给JAR添加新签名时，需保证JAR内容未被修改，否则旧签名会失效。
• 过渡阶段需测试不同时间点的验证逻辑，确保新旧证书均能正常通过校验。

内容的提问来源于stack exchange，提问作者Paul Edison