Java应用导入X.509证书至NSS密钥库异常及信任标识差异问题

我有一个运行在两台不同服务器上的Java应用，两台服务器均使用Java 8u121。在第一台服务器上，应用尝试将X.509证书导入NSS密钥库时抛出如下异常：

Failed to store public key certificate in keystore. Cause: Could not create trust object
 java.security.ProviderException: Could not create trust object
        at sun.security.pkcs11.Secmod$TrustAttributes.<init>(Secmod.java:658)
        at sun.security.pkcs11.Secmod$Module.setTrust(Secmod.java:529)
        at sun.security.pkcs11.P11KeyStore.engineSetEntry(P11KeyStore.java:1045)
        at sun.security.pkcs11.P11KeyStore.engineSetCertificateEntry(P11KeyStore.java:516)
        at java.security.KeyStore.setCertificateEntry(Unknown Source)

使用certutil查看NSS数据库条目时，可看到该证书条目，但信任标识显示为“CTu,Cu,Cu”。
在第二台服务器上，应用通过相同API导入X.509证书至NSS密钥库时无异常，运行正常，certutil查看的信任标识为“CT,C,C”。

现咨询两个问题：

1. 第一台服务器导入X.509证书为何抛出异常？
2. 两台服务器证书的信任标识差异由何导致？

1. 第一台服务器导入异常原因 #

该异常是Java的PKCS11 Provider在为NSS密钥库中的证书创建信任对象时失败导致的，核心诱因包括：

• NSS数据库权限不足：第一台服务器上的NSS核心数据库文件（cert8.db、key3.db、secmod.db）权限配置有误，Java进程无法写入信任属性，直接触发TrustAttributes初始化失败。
• NSS版本兼容性问题：两台服务器的NSS库版本存在差异，第一台的NSS版本不兼容Java 8u121 PKCS11 Provider的信任属性设置逻辑，底层创建信任对象的操作触发错误。
• PKCS11配置参数错误：第一台服务器的Java PKCS11配置文件（如pkcs11.cfg）中，trustAttributes等参数设置不当，导致设置证书信任属性时出现逻辑冲突。

另外，certutil能查到证书但信任标识带u（未信任），说明证书本身已写入数据库，但信任属性的写入操作失败，这进一步验证了信任对象创建环节的问题。

2. 信任标识差异的原因 #

NSS信任标识里，C代表信任（Trusted），u代表未信任（Untrusted），CT对应证书信任者（Cert Trust）角色。两台服务器的标识差异由以下因素导致：

• NSS默认信任配置不同：两台服务器的NSS数据库初始配置存在区别，第二台默认允许将导入的证书标记为信任，而第一台的默认配置拒绝设置信任属性，最终标识变为u。
• 环境变量影响：第一台服务器可能设置了NSS_DEFAULT_DB_TYPE、NSS_DISABLE_HW_SLOTS等影响NSS行为的环境变量，改变了证书导入时的信任属性设置逻辑。
• NSS数据库状态异常：第一台服务器的NSS数据库可能存在损坏或残留的旧配置，导致信任属性无法正常写入，而第二台的数据库状态正常。

内容的提问来源于stack exchange，提问作者Petaluma007