如何更高效地在X509CRL列表中筛选目标CRL？

你当前用字符串contains匹配颁发者DN的方式存在不少隐患——X.500 DN有多种格式（比如RFC 2253格式和传统格式）、大小写差异、属性顺序不同都可能导致本该匹配的CRL被漏掉，或者不该匹配的被误选。下面是几种基于X.509标准的更可靠筛选方式：

1. 用X500Principal精确匹配颁发者 #

X500Principal类本身实现了可靠的equals逻辑，会自动处理DN的不同表示形式（比如属性顺序、大小写、转义字符差异），比字符串匹配精准得多。

示例代码：

// 假设你有目标颁发者的X500Principal（可从目标CA证书获取，或直接构造）
X500Principal targetIssuer = new X500Principal("CN=Target CA, O=Example Corp, C=US");

List<X509CRL> filteredCrls = new ArrayList<>();
for (X509CRL crl : crls) {
    X500Principal crlIssuer = crl.getIssuerX500Principal();
    if (crlIssuer.equals(targetIssuer)) {
        filteredCrls.add(crl);
    }
}

2. 通过CA公钥验证CRL签名（最可靠） #

CRL由CA签发，其签名可以用CA的公钥验证——这是确认CRL归属的最权威方式，完全规避DN仿冒的风险。

示例代码：

// 假设你已持有目标CA的证书（X509Certificate对象）
X509Certificate targetCaCert = ...;
PublicKey targetCaPublicKey = targetCaCert.getPublicKey();

List<X509CRL> filteredCrls = new ArrayList<>();
for (X509CRL crl : crls) {
    try {
        // 用CA公钥验证CRL签名，验证通过则说明该CRL由目标CA签发
        crl.verify(targetCaPublicKey);
        filteredCrls.add(crl);
    } catch (Exception e) {
        // 签名验证失败，跳过该CRL
        continue;
    }
}

注意：验证签名时需处理NoSuchAlgorithmException、InvalidKeyException、SignatureException等异常，这些异常均表示CRL不属于目标CA。

3. 对比颁发者密钥标识符（AKI）与CA的主题密钥标识符（SKI） #

很多CA证书会包含主题密钥标识符（SKI），对应的CRL会包含颁发者密钥标识符（AKI），且二者值一致（AKI指向签发CRL的CA公钥的SKI）。这种方式比DN匹配更可靠，因为密钥标识符直接绑定到公钥，不受DN格式影响。

示例代码（依赖BouncyCastle库简化ASN.1解码）：

// 从目标CA证书提取SKI
byte[] targetCaSki = targetCaCert.getExtensionValue("2.5.29.14"); // SKI的OID
SubjectKeyIdentifier ski = SubjectKeyIdentifier.fromExtensionValue(targetCaSki);

List<X509CRL> filteredCrls = new ArrayList<>();
for (X509CRL crl : crls) {
    // 从CRL提取AKI
    byte[] crlAki = crl.getExtensionValue("2.5.29.35"); // AKI的OID
    AuthorityKeyIdentifier aki = AuthorityKeyIdentifier.fromExtensionValue(crlAki);
    
    // 对比AKI与CA的SKI
    if (Arrays.equals(aki.getKeyIdentifier(), ski.getKeyIdentifier())) {
        filteredCrls.add(crl);
    }
}

注：若不用第三方库，需自行实现ASN.1格式的扩展值解码逻辑。

内容的提问来源于stack exchange，提问作者Arzybek