Java应用无需添加证书即可获取谷歌/脸书公钥的原理咨询

你的猜想完全正确——谷歌、脸书这类大厂的HTTPS证书，都是由**全球知名的CA（证书颁发机构）**签发的，而这些CA的根证书早就预置在Java默认的cacerts密钥库中了，这就是不用手动添加域名.cer文件的核心原因。

具体实现流程 #

当你的Java应用和这些域名建立HTTPS连接时，会触发以下步骤：

• 对方服务器返回完整的证书链：从域名自身的服务器证书（包含该域名的公钥），逐级向上到中间CA证书，最终到根CA证书。
• Java会自动验证这个证书链：用cacerts里预置的根CA公钥，验证链中最顶层的根CA证书的合法性，再逐层向下验证中间CA、服务器证书的签名有效性。
• 验证通过后，Java就能从服务器证书中直接提取出该域名的公钥，无需你手动导入任何域名相关的证书文件。

关于公钥的存储 #

你不需要纠结“大厂域名的公钥存在哪里”——这个公钥并不是提前存在Java的密钥库里的，而是每次建立连接时，从对方服务器返回的证书中动态提取的。cacerts里存储的是CA的根证书（包含CA的公钥），它的作用只是用来验证服务器证书的合法性，确保你拿到的公钥确实属于目标域名，而非伪造的。

Java版本的影响 #

确实和Java版本有关：不同版本的JDK/JRE，cacerts里预置的CA根证书列表会有差异。比如：

• 旧版本Java可能没有收录一些新成立的知名CA的根证书；
• 当某个CA的根证书过期后，新版本Java会更新cacerts，替换成有效期更长的新根证书（比如你提到的有效期到2030-2040的证书）。
  如果遇到某个大厂域名在旧Java版本下无法信任的情况，升级Java版本通常就能解决，因为新版本的cacerts已经更新了对应的CA根证书。

简单代码示例（提取公钥） #

import java.net.URL;
import java.security.cert.Certificate;
import javax.net.ssl.HttpsURLConnection;

public class FetchPublicKey {
    public static void main(String[] args) throws Exception {
        URL url = new URL("https://www.google.com");
        HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
        conn.connect();
        
        // 获取证书链，第一个元素就是服务器证书
        Certificate[] certs = conn.getServerCertificates();
        java.security.PublicKey publicKey = certs[0].getPublicKey();
        
        System.out.println("提取到的公钥算法：" + publicKey.getAlgorithm());
        System.out.println("公钥格式：" + publicKey.getFormat());
        
        conn.disconnect();
    }
}

这段代码不需要手动导入任何证书，就能直接提取谷歌域名的公钥，核心原因就是Java能通过cacerts里的根CA验证证书链的合法性。

内容的提问来源于stack exchange，提问作者Andrey Pylyptiy