Java密钥库能否存入相同SubjectDN的证书？相关RFC及选择逻辑问询

1. 是否允许存入相同SubjectDN的证书？ #

Java信任库（包括JKS、PKCS12等常见格式）允许存储多个SubjectDN相同的证书，无论其有效期是否重叠。信任库本质是证书的存储容器，本身不会对SubjectDN的唯一性做校验，所有导入的证书都会被保留。

2. 是否有RFC禁止此操作？ #

目前没有通用的RFC明确禁止存储相同SubjectDN的证书。X.509系列RFC（如RFC 5280）主要规范证书的格式、验证逻辑等核心内容，但并未对信任库的存储规则做强制限制——这类规则更多由具体实现（比如Java密钥库工具）决定。

3. 应用程序如何选择有效证书？ #

Java应用在验证证书链时，通常会按以下逻辑筛选合适的证书：

• 优先校验有效期：首先筛选出当前时间处于Not Before到Not After区间内的证书，排除已过期或未生效的证书。
• 匹配密钥用途：如果应用有特定的密钥用途需求（如TLS客户端认证、数字签名等），会进一步筛选符合对应Key Usage扩展的证书。
• 验证信任路径：尝试构建从目标证书到信任库中根证书的完整信任链，选择能成功构建有效链的证书。
• 辅助判断维度：若多个证书满足上述条件，部分实现会优先选择签发时间较新的证书，或按信任库中的存储顺序取第一个匹配项（此顺序不固定）。

如果存在多个SubjectDN、有效期、用途均重叠的证书，建议在应用层明确自定义证书筛选逻辑，避免依赖不确定的默认行为。

内容的提问来源于stack exchange，提问作者Vinay Vinay