PKCS#12信任库含根CA与子CA时的Java mTLS连接规则问询

核心结论 #

根据给定的信任库（包含ACME Inc. Root CA、ACME Inc. Sub CA 1）配置，ACME Leaf Certificate 1可获准连接，ACME Leaf Certificate 2无法通过验证。

具体疑问解答 #

1. 即使信任库中没有ACME Inc. Sub CA 2证书，但存在Root CA，Leaf Certificate 2能否连接？
   不能。Java的TLS证书验证要求完整的信任链：Leaf Certificate 2由Sub CA 2签发，Sub CA 2由Root CA签发，但信任库中缺少Sub CA 2的证书，服务器无法完成从叶证书到根证书的链拼接与验证，因此会拒绝该连接请求。

2. 为何要在信任库中包含ACME Inc. Sub CA 1证书？
   主要有三个原因：

• 简化验证流程：如果客户端只发送Leaf Certificate 1，服务器无需依赖客户端额外提供中间CA证书（部分客户端不会主动发送），直接用信任库中的Sub CA 1就能完成链验证。
• 实现细粒度信任控制：若后续要取消对Sub CA 1下所有叶证书的信任，直接移除该子CA证书即可，无需改动Root CA；如果只信任Root CA，所有由Root签发的子CA下的叶证书都会被允许，信任范围过宽。
• 兼容性保障：部分老版本Java环境或特殊TLS配置对中间CA的自动追溯支持有限，提前将Sub CA 1加入信任库可避免验证失败。

3. 若直接将Leaf Certificate 1加入该信任库，是否仅允许Leaf Certificate 1连接？
   是的。当信任库中直接存放终端叶证书时，Java服务器会将其视为仅信任的终端实体，只有持有该叶证书对应私钥的客户端能通过验证，其他任何证书（包括同一Sub CA下的其他叶证书）都会被拒绝。

4. 若直接将Leaf Certificate 1加入该信任库，即使它已过期，是否仍会被接受？
   不会。Java的TLS验证会强制校验证书的有效期，无论证书是直接放在信任库还是通过CA链验证，只要证书已过期，验证环节就会失败，服务器会拒绝连接。

内容的提问来源于stack exchange，提问作者mwllgr