如何判断Java SSLSocket客户端是否发送证书并获取证书CN值？

• 判断客户端是否发送证书
  通过SSLSocket获取SSLSession后，调用getPeerCertificates()方法即可判断：

  • 若客户端未发送证书，该方法会抛出SSLPeerUnverifiedException；
  • 若客户端发送了证书，会返回Certificate类型的数组。

• 提取证书的CN字段
  拿到证书数组后，取第一个元素（通常为客户端证书）转换为X509Certificate，通过其getSubjectX500Principal()方法获取主体DN，再从中解析出CN字段。

代码示例 #

// 假设已获取到SSLSocket实例
SSLSocket sslSocket = (SSLSocket) clientSocket;
SSLSession session = sslSocket.getSession();

try {
    Certificate[] peerCerts = session.getPeerCertificates();
    // 客户端提供了证书
    if (peerCerts.length > 0 && peerCerts[0] instanceof X509Certificate) {
        X509Certificate clientCert = (X509Certificate) peerCerts[0];
        X500Principal subject = clientCert.getSubjectX500Principal();
        String subjectDN = subject.getName();
        
        // 提取CN字段（简单拆分实现，也可使用更严谨的ASN.1解析工具）
        String cn = null;
        String[] dnParts = subjectDN.split(",");
        for (String part : dnParts) {
            String trimmedPart = part.trim();
            if (trimmedPart.startsWith("CN=")) {
                cn = trimmedPart.substring(3);
                break;
            }
        }
        System.out.println("客户端证书CN: " + cn);
    }
} catch (SSLPeerUnverifiedException e) {
    // 客户端未提供证书
    System.out.println("当前连接未携带客户端证书");
}

注意事项 #

服务端需配置SSL参数为wantClientAuth=true，而非needClientAuth=true，这样既能接受未携带证书的客户端连接，也能处理携带证书的连接。配置示例：

SSLContext sslContext = // 初始化你的SSLContext
SSLSocketFactory socketFactory = sslContext.getSocketFactory();
SSLSocket sslSocket = (SSLSocket) socketFactory.createSocket(...);

SSLParameters params = sslSocket.getSSLParameters();
params.setWantClientAuth(true);
sslSocket.setSSLParameters(params);

内容的提问来源于stack exchange，提问作者Andy Brunner