如何检测指定URL中的自签名证书（仿浏览器检测逻辑）

自签名证书的核心特征是签发者与使用者为同一实体，且通常无法通过系统默认信任库的验证，证书链长度多为1。结合你已有的证书获取代码，以下是几种贴近浏览器检测逻辑的实现方式：

1. 比对证书的签发者（Issuer）与使用者（Subject） #

自签名证书的签发者就是它本身，直接对比两者的专有名称（DN）即可快速判断：

URL destinationURL = new URL(url);
HttpsURLConnection conn = (HttpsURLConnection) destinationURL.openConnection();
conn.connect();
Certificate[] certs = conn.getServerCertificates();

if (certs.length > 0 && certs[0] instanceof X509Certificate) {
    X509Certificate serverCert = (X509Certificate) certs[0];
    // 对比签发者与使用者的DN
    boolean isSelfSignedByDN = serverCert.getIssuerDN().equals(serverCert.getSubjectDN());
    System.out.println("通过Issuer/Subject比对：" + (isSelfSignedByDN ? "疑似自签名证书" : "非自签名证书"));
}

注意：系统信任的根CA证书也满足这个特征，需结合信任验证进一步区分。

2. 验证证书链的信任状态（贴近浏览器逻辑） #

浏览器的核心逻辑是验证证书链能否追溯到系统信任的根CA。自签名证书无上层CA，链长度为1且无法通过信任验证：

URL destinationURL = new URL(url);
HttpsURLConnection conn = (HttpsURLConnection) destinationURL.openConnection();
conn.connect();
Certificate[] certs = conn.getServerCertificates();

// 初始化系统默认信任管理器
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init((KeyStore) null);
X509TrustManager trustManager = null;
for (TrustManager tm : tmf.getTrustManagers()) {
    if (tm instanceof X509TrustManager) {
        trustManager = (X509TrustManager) tm;
        break;
    }
}

if (trustManager != null && certs.length > 0) {
    X509Certificate[] certChain = new X509Certificate[certs.length];
    for (int i = 0; i < certs.length; i++) {
        certChain[i] = (X509Certificate) certs[i];
    }

    try {
        // 尝试用系统信任库验证证书链
        trustManager.checkServerTrusted(certChain, "RSA"); // 算法需与证书匹配，如EC、RSA
        if (certChain.length == 1) {
            System.out.println("是系统信任的根CA自签名证书");
        } else {
            System.out.println("非自签名证书，且已通过信任验证");
        }
    } catch (CertificateException e) {
        if (certChain.length == 1) {
            System.out.println("未被系统信任，且为单证书链，确定是自签名证书");
        } else {
            System.out.println("证书链验证失败，但非自签名（可能是中间CA未被信任）");
        }
    }
}

3. 验证证书签名是否由自身公钥签发 #

自签名证书用自身私钥签名，因此可以用证书的公钥验证签名有效性：

URL destinationURL = new URL(url);
HttpsURLConnection conn = (HttpsURLConnection) destinationURL.openConnection();
conn.connect();
Certificate[] certs = conn.getServerCertificates();

if (certs.length > 0 && certs[0] instanceof X509Certificate) {
    X509Certificate serverCert = (X509Certificate) certs[0];
    try {
        // 用自身公钥验证签名
        serverCert.verify(serverCert.getPublicKey());
        System.out.println("签名可被自身公钥验证，属于自签名类型");
    } catch (Exception e) {
        System.out.println("签名无法被自身公钥验证，非自签名证书");
    }
}

实际应用建议 #

生产环境中建议组合多种方法：先通过链长度+Issuer/Subject比对初步判断，再用系统信任管理器验证，区分"用户自签名证书"和"系统信任的根CA自签名证书"，完全贴近浏览器的检测逻辑。

内容的提问来源于stack exchange，提问作者Anton Chertash