使用Jsign与SafeNet eToken签名文件遇插槽无令牌问题求助

以下是针对你遇到的插槽无令牌错误的排查和解决建议：

1. 确认硬件令牌的物理连接与系统识别 #

• 检查eToken是否牢固插入Mac的USB端口，尽量避开USB集线器，直接连接主板USB口，排除供电或连接不稳定问题。
• 打开SafeNet Authentication Client自带的令牌管理工具（如SafeNet Token Management），确认工具能正常识别到你的令牌。如果工具都无法识别，说明驱动或硬件存在问题：重新安装SafeNet客户端，重启Mac后再次尝试连接令牌。

2. 修正PKCS11配置文件的插槽参数 #

日志显示系统检测到多个插槽，但没有一个插槽存在令牌，默认的slotListIndex=0配置自然会失效。你可以：

• 在hardwareToken.cfg中，将slotListIndex=0替换为slot=any，让系统自动扫描所有插槽，找到带有令牌的那个。
• 或者用pkcs11-tool工具（通过Homebrew安装：brew install opensc）扫描实际可用插槽：

  pkcs11-tool -L
  

  找到输出中标记Token present的插槽号，将.cfg中的slotListIndex改为对应的数字。

3. 验证PKCS11模块路径的正确性 #

虽然你确认了libeToken.dylib存在，但可能没使用SafeNet客户端提供的官方模块路径。尝试替换.cfg中的library路径为：

library=/Library/Frameworks/eToken.framework/Versions/A/Libraries/libeToken.dylib

这是新版SafeNet客户端的标准模块路径，比/usr/local/lib/下的文件兼容性更好。

4. 检查Java版本兼容性 #

部分高版本Java（如OpenJDK 17+）与SafeNet的PKCS11模块存在兼容性问题，建议切换到AdoptOpenJDK 8或11版本，再重新运行签名命令。

5. 确认令牌已解锁并正确传入PIN #

如果你的eToken需要PIN码解锁，命令中的--storepass NONE是错误的，需要替换为你的令牌PIN码。同时可以用keytool查看令牌内的证书别名（注意：--alias参数不是本地证书文件路径，而是令牌内证书的别名）：

keytool -list -storetype PKCS11 -keystore hardwareToken.cfg -storepass YOUR_PIN

修正后的命令示例 #

假设你的.cfg文件已更新为：

name=HardwareToken
library=/Library/Frameworks/eToken.framework/Versions/A/Libraries/libeToken.dylib
slot=any

运行签名命令：

java -Djava.security.debug=sunpkcs11 -jar jsign-4.2.jar --keystore hardwareToken.cfg --storepass YOUR_PIN --storetype PKCS11 --tsaurl http://timestamp.digicert.com --alias YOUR_CERT_ALIAS path/to/installer.exe

内容的提问来源于stack exchange，提问作者Senshi