如何通过OpenSSL或Java识别X509自签名证书的签名标识？

OpenSSL 方式 #

• 对比颁发者与主题字段
  自签名证书的核心特征是颁发者（Issuer）和主题（Subject）完全一致，可以用以下命令直接查看并对比：

  openssl x509 -in your_certificate.crt -noout -issuer -subject
  

  输出的两行内容如果完全匹配，基本可以判定是自签名证书。如果担心字段顺序差异导致误判，还可以对比两者的哈希值：

  # 获取颁发者哈希
  openssl x509 -in your_certificate.crt -noout -issuer_hash
  # 获取主题哈希
  openssl x509 -in your_certificate.crt -noout -subject_hash
  

  自签名证书的两个哈希值会完全相同。

• 验证签名有效性
  自签名证书可以用自身作为CA证书通过验证，执行以下命令：

  openssl verify -CAfile your_certificate.crt your_certificate.crt
  

  如果输出显示your_certificate.crt: OK，说明该证书是自签名的；如果是第三方CA签名的证书，用自身验证会返回类似error 18 at 0 depth lookup: self signed certificate的错误。

Java 方式 #

• 使用keytool命令行查看
  用Java自带的keytool工具打印证书详情，重点看Issuer和Subject字段：

  keytool -printcert -file your_certificate.crt
  

  自签名证书的这两个字段内容完全一致。

• 编程方式判断
  通过Java Security API获取证书对象后，直接对比颁发者和主题的X500主体：

  import java.io.FileInputStream;
  import java.security.cert.CertificateFactory;
  import java.security.cert.X509Certificate;
  
  public class CertChecker {
      public static void main(String[] args) throws Exception {
          CertificateFactory cf = CertificateFactory.getInstance("X.509");
          X509Certificate cert = (X509Certificate) cf.generateCertificate(new FileInputStream("your_certificate.crt"));
          boolean isSelfSigned = cert.getIssuerX500Principal().equals(cert.getSubjectX500Principal());
          System.out.println("是否为自签名证书: " + isSelfSigned);
      }
  }
  

  运行后返回true即为自签名证书。

内容的提问来源于stack exchange，提问作者Srii