jarsigner签名JAR成功但验证失败：SecurityException异常求助

问题场景 #

使用jarsigner结合jsign工具对接Azure HSM托管私钥完成JAR签名，签名过程返回成功，但执行jarsigner -verify或用Keystore Explorer打开时，报错：jarsigner: java.lang.SecurityException: cannot verify signature block file META-INF/MYALIAS。提取签名块文件重命名为.p7b可正常打开，证书链与签名所用一致，运行环境为Windows + Corretto 17.0.9。

排查方向与解决方法 #

1. 证书链格式不匹配 #

jarsigner要求-certchain参数指定的文件为DER编码的X.509证书序列，而PKCS#7格式的.p7b文件可能无法被验证环节正确解析（尽管签名环节能处理）。

• 处理步骤：
  用OpenSSL将p7b证书链转换为DER格式序列：

  openssl pkcs7 -in my-cert-chain.p7b -print_certs -outform DER -out my-cert-chain.der
  

  重新签名时替换为-certchain my-cert-chain.der。

2. JDK版本与jsign兼容性问题 #

Corretto 17作为Java 17 LTS版本，可能与jsign 6.0存在JCA Provider模块兼容性问题，部分内部API访问受限。

• 处理步骤：
  • 升级jsign至最新稳定版（如6.1+，确保官方标注支持Java 17）；
  • 签名时补充JVM参数，开放必要的内部API访问：

    jarsigner -verbose -J-cp -Jjsign-最新版.jar -J--add-modules -Jjava.sql -J--add-exports -Jjava.base/sun.security.x509=ALL-UNNAMED -providerClass net.jsign.jca.JsignJcaProvider -providerArg [azure-key-vault-name] -keystore NONE -storetype AZUREKEYVAULT -storepass $AZURE_ACCESS_TOKEN -certchain my-cert-chain.der my-jar.jar MyAlias
    

  • 尝试用Java 11环境测试签名验证，排除版本特有问题。

3. 签名算法不匹配 #

Azure HSM中的私钥算法可能与证书链的签名算法不一致，或jsign未正确指定签名算法导致签名块格式异常。

• 处理步骤：
  • 确认Azure HSM私钥算法（RSA/ECDSA等）及证书链的签名算法；
  • 签名时显式指定签名算法，例如RSA密钥用：

    jarsigner ... -sigalg SHA256withRSA ...
    

    ECDSA密钥用：

    jarsigner ... -sigalg SHA256withECDSA ...
    

4. 签名块文件损坏 #

Windows环境下的文件权限、磁盘缓存或编码问题可能导致签名块文件写入异常。

• 处理步骤：
  • 用openssl asn1parse -in MYALIAS.RSA解析签名块，检查是否存在ASN.1编码错误；
  • 对比本地密钥签名生成的RSA文件大小，确认当前签名块大小是否合理；
  • 切换至Linux环境重复签名验证流程，排除Windows系统特有问题。

5. 验证环节的JCA Provider缺失 #

jarsigner验证时可能需要jsign的JCA Provider来正确解析Azure HSM生成的签名块格式。

• 处理步骤：
  验证时指定jsign Provider：

  jarsigner -verbose -verify -J-cp -Jjsign-6.0.jar -providerClass net.jsign.jca.JsignJcaProvider my-jar.jar
  

内容的提问来源于stack exchange，提问作者John Bergqvist