如何在Java 8中验证CA签发的数字签名及获取CA公钥？

核心结论 #

验证X509证书签名的公钥，来自签发该证书的CA自身的X509证书，不存在通用的“通过DN查找公钥”的全局表——DN只是实体的标识信息，公钥是直接嵌入在CA证书中的。

具体实现步骤（推荐使用标准JDK API） #

注意：javax.security.cert.X509Certificate是JDK早期的遗留API，现在更推荐使用java.security.cert.X509Certificate（属于标准JCA/JCE体系，功能更完善）。

1. 获取CA证书
   你需要预先持有签发待验证证书的CA证书（通常来自系统信任库、自定义信任存储，或由对方提供）。比如从本地文件加载CA证书：

import java.io.FileInputStream;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

// 加载CA证书
CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509Certificate caCert = (X509Certificate) cf.generateCertificate(
    new FileInputStream("path/to/ca-cert.pem")
);

2. 提取CA公钥
   从CA证书中直接提取公钥：

java.security.PublicKey caPublicKey = caCert.getPublicKey();

3. 验证待验证证书的签名
   加载待验证的证书后，调用其verify方法传入CA公钥：

// 加载待验证的证书
X509Certificate targetCert = (X509Certificate) cf.generateCertificate(
    new FileInputStream("path/to/target-cert.pem")
);

// 验证签名
try {
    targetCert.verify(caPublicKey);
    System.out.println("证书签名验证通过");
} catch (Exception e) {
    System.err.println("证书签名验证失败: " + e.getMessage());
}

关于信任链与根CA #

如果待验证证书是由中间CA签发的，你需要构建完整的信任链：从待验证证书→中间CA证书→根CA证书，最终用预先信任的根CA公钥验证中间CA证书，再用中间CA公钥验证待验证证书。JDK的CertPathValidator可以自动处理这种链式验证，无需手动逐个验证。

常见疑问解答 #

• 为什么没有DN查公钥的表？
  DN（Distinguished Name）只是用来标识证书主体的字符串（比如CN=Example CA, O=Example Corp），不同CA可能有相同DN（虽然不规范但理论存在），且公钥是和证书绑定的唯一凭证，必须通过CA证书才能安全获取公钥，不能仅通过DN映射。

内容的提问来源于stack exchange，提问作者Joe D