Tomcat 10服务器如何触发浏览器弹出用户证书选择窗口？

我正在开发部署在Tomcat 10上的Java Web应用，流程是用户输入常规凭证后，需要请求智能卡证书完成二次认证。应用通过HTTPS（8443端口）提供服务，必要时向8444端口发起HTTPS请求以获取用户证书。

核心问题：

• 浏览器从未弹出证书选择菜单，但在Login.gov等第三方网站测试时，智能卡证书选择、PIN输入功能均正常，且浏览器能识别智能卡上的证书。
• 向8444端口发起请求时，在connection.getResponseCode()处抛出javax.net.ssl.SSLHandshakeException: Received fatal alert: bad_certificate；将8444端口的certificateVerification设为false时，请求可正常响应。
• 添加Java参数-Djavax.net.debug=ssl后，日志显示错误为Empty client certificate chain。
• 曾通过Java代码读取本地Windows证书存储（Windows-MY）的证书列表，现在无法获取，原因不明。

当前Tomcat配置：
8444端口Connector配置：

<Connector
    port="8444" secure="true" scheme="https" maxThreads="150" SSLEnabled="true"
    maxParameterCount="1000" protocol="org.apache.coyote.http11.Http11NioProtocol">
    
    <SSLHostConfig
        sslProtocol="TLSv1.2" certificateVerification="true"
        truststoreFile="C:/Program Files/Java/jdk-17/lib/security/cacerts"
        truststorePassword="changeit">
        
        <Certificate
            certificateKeystoreFile="path/to/keystore.jks"
            certificateKeystorePassword="password" type="RSA"/>
    </SSLHostConfig>
</Connector>

8443端口配置基本一致，原certificateVerification设为false，尝试改为required，同时将8443端口的该参数改为optional/none后，问题仍未解决。

疑问：

1. 临时智能卡无完整证书链，部分用户证书有可信CA链，是否需要在用户账户创建时将其证书添加到服务器信任库？若需程序化添加，如何先让用户选择证书？
2. 已知Java和浏览器均可识别证书，为何浏览器不弹出证书选择及PIN输入窗口？如何解决？

一、浏览器不弹窗的核心原因 #

浏览器仅在服务器明确强制要求客户端证书，且服务器信任库包含客户端证书的签发CA时，才会触发证书选择弹窗。你的问题主要出在两个点：

1. Tomcat配置的certificateVerification="true"是旧版兼容写法，实际对应optional（仅请求证书但不强制验证），浏览器不会主动弹窗；
2. 服务器信任库（cacerts）未包含智能卡证书的签发CA，服务器拒绝证书请求，浏览器因此不触发弹窗。

二、修复浏览器弹窗问题 #

1. 修正8444端口的SSL配置 #

将certificateVerification改为required（强制要求客户端证书），同时替换过时的sslProtocol参数为标准的protocols：

<Connector
    port="8444" secure="true" scheme="https" maxThreads="150" SSLEnabled="true"
    maxParameterCount="1000" protocol="org.apache.coyote.http11.Http11NioProtocol">
    
    <SSLHostConfig
        protocols="TLSv1.2,TLSv1.3" certificateVerification="required"
        truststoreFile="C:/Program Files/Java/jdk-17/lib/security/cacerts"
        truststorePassword="changeit">
        
        <Certificate
            certificateKeystoreFile="path/to/keystore.jks"
            certificateKeystorePassword="password" type="RSA"/>
    </SSLHostConfig>
</Connector>

Tomcat中certificateVerification的有效值为none/optional/required，true并非官方有效值，这是之前配置无效的关键。

2. 将客户端证书的CA导入服务器信任库 #

• 对于有可信CA链的用户证书：将根CA证书导入Tomcat使用的cacerts信任库，命令如下：

  keytool -importcert -alias user-ca-root -file /path/to/root-ca.crt -keystore "C:/Program Files/Java/jdk-17/lib/security/cacerts" -storepass changeit
  

• 对于无证书链的临时智能卡：
  • 测试阶段可直接将智能卡证书导入信任库；
  • 生产环境建议实现自定义证书验证逻辑，不依赖信任库，而是在代码中检查证书主题、有效期等关键信息。

三、解决Empty client certificate chain错误 #

该错误说明浏览器未向服务器发送完整证书链，解决步骤：

1. 确认智能卡证书在浏览器中显示完整的证书路径（查看证书详情→证书路径）；
2. 按照上述步骤修正服务器SSL配置，确保服务器强制要求证书且信任对应的CA。

四、程序化添加用户证书到信任库的思路 #

不要直接修改系统默认的cacerts（权限和维护风险高），建议：

1. 创建自定义信任库文件，初始导入基础可信CA；
2. 用户首次认证时，浏览器弹窗选择证书后，在Servlet中获取客户端证书并保存到自定义信任库：

   X509Certificate[] certs = (X509Certificate[]) request.getAttribute("javax.servlet.request.X509Certificate");
   if (certs != null && certs.length > 0) {
       X509Certificate userCert = certs[0];
       // 加载自定义信任库
       KeyStore trustStore = KeyStore.getInstance("JKS");
       trustStore.load(new FileInputStream("/path/to/custom-truststore.jks"), "your-truststore-pass".toCharArray());
       // 添加用户证书
       trustStore.setCertificateEntry("user-" + userCert.getSubjectDN().getName(), userCert);
       // 保存信任库
       trustStore.store(new FileOutputStream("/path/to/custom-truststore.jks"), "your-truststore-pass".toCharArray());
   }
   

3. 修改Tomcat的SSLHostConfig，指定使用该自定义信任库：

   truststoreFile="/path/to/custom-truststore.jks"
   truststorePassword="your-truststore-pass"
   

五、恢复读取本地证书的方法 #

之前的代码无法读取Windows-MY存储，大概率是权限或JDK版本问题：

1. 确保运行Tomcat的用户有读取Windows证书存储的权限；
2. JDK 17中需显式注册SunMSCAPI提供者：

   Security.addProvider(new sun.security.mscapi.SunMSCAPI());
   KeyStore keyStore = KeyStore.getInstance("Windows-MY");
   keyStore.load(null);
   Enumeration<String> aliases = keyStore.aliases();
   

   注意：这段代码应在客户端（如桌面应用）运行，服务器端运行时读取的是服务器的Windows证书存储，而非用户浏览器端的。

内容的提问来源于stack exchange，提问作者Izek H