Java中自定义X509TrustManager时，SSL库是否仍验证服务端签名？

你的预期是对的：Java SSL库仍然会验证服务端是否持有证书对应的私钥，也就是会校验服务端发送的签名有效性，这个逻辑不受自定义X509TrustManager的影响。

具体来说：

• TLS握手时，服务端发送证书后存在两个独立的校验环节：
  1. 由X509TrustManager负责的证书信任校验：比如证书是否和预定义内容匹配、是否在信任链内、是否过期等——这部分是你自定义checkServerTrusted方法接管的内容。
  2. 由Java SSL底层强制执行的私钥持有验证：服务端会用私钥对握手过程中的关键消息（比如Server Key Exchange、Finished消息）签名，SSL库会自动用服务端证书的公钥验证这个签名的有效性，确保对方确实持有证书对应的私钥，防止证书被冒用。

自定义X509TrustManager只修改了第一个环节的逻辑，第二个环节属于TLS协议的核心安全要求，Java SSL库不会因为你自定义了TrustManager就跳过这个校验。

内容的提问来源于stack exchange，提问作者vesuvius