如何直接导入PEM文件以在FeignClient中使用客户端证书？

你可以直接利用sslcontext-kickstart库的SSLFactory来加载PEM格式的客户端证书（包含私钥和证书链），无需转换为JKS文件。以下是具体实现步骤：

1. 添加依赖 #

确保你的项目中引入了必要的依赖（以Maven为例）：

<dependency>
    <groupId>io.github.hakky54</groupId>
    <artifactId>sslcontext-kickstart</artifactId>
    <version>8.2.0</version> <!-- 使用最新稳定版本 -->
</dependency>
<dependency>
    <groupId>io.github.openfeign</groupId>
    <artifactId>feign-core</artifactId>
    <version>12.4</version> <!-- 匹配你的Feign版本 -->
</dependency>

2. 核心代码实现 #

从本地PEM文件加载 #

如果你的PEM文件存储在本地路径：

import nl.altindag.ssl.SSLFactory;
import feign.Client;
import feign.Feign;
import java.nio.file.Paths;

public class FeignPemClientExample {

    public static void main(String[] args) throws Exception {
        // 构建SSLFactory，加载包含私钥和证书的PEM文件
        // 若私钥无密码，第二个参数传null或空字符数组即可
        SSLFactory sslFactory = SSLFactory.builder()
                .withIdentityMaterial(Paths.get("/path/to/client-cert.pem"), "private-key-password".toCharArray())
                // 可选：若服务器使用自签名证书，加载对应的CA证书PEM；否则可省略，使用系统默认信任库
                .withTrustMaterial(Paths.get("/path/to/server-ca.pem"))
                .build();

        // 创建Feign客户端，传入SSL上下文相关对象
        Client feignClient = new Client.Default(sslFactory.getSslSocketFactory(), sslFactory.getHostnameVerifier());

        // 构建并初始化你的Feign API接口
        YourApiService apiService = Feign.builder()
                .client(feignClient)
                .target(YourApiService.class, "https://target-api-domain.com");

        // 调用API方法
        apiService.invokeYourEndpoint();
    }

    // 示例Feign接口定义
    interface YourApiService {
        // @RequestLine("GET /api/your-endpoint")
        // ApiResponse invokeYourEndpoint();
    }
}

从字节流加载（适合程序动态获取的场景） #

如果你的PEM文件是通过程序从远程获取的字节数据，可直接用输入流加载：

import nl.altindag.ssl.SSLFactory;
import feign.Client;
import feign.Feign;
import java.io.ByteArrayInputStream;
import java.io.InputStream;

public class FeignDynamicPemClient {

    public static void main(String[] args) throws Exception {
        // 模拟从远程获取的PEM字节数据
        byte[] clientPemBytes = getClientPemFromRemote();
        InputStream pemInputStream = new ByteArrayInputStream(clientPemBytes);

        SSLFactory sslFactory = SSLFactory.builder()
                .withIdentityMaterial(pemInputStream, "private-key-password".toCharArray())
                .withTrustMaterial(Paths.get("/path/to/server-ca.pem"))
                .build();

        Client feignClient = new Client.Default(sslFactory.getSslSocketFactory(), sslFactory.getHostnameVerifier());
        YourApiService apiService = Feign.builder()
                .client(feignClient)
                .target(YourApiService.class, "https://target-api-domain.com");

        apiService.invokeYourEndpoint();
    }

    private static byte[] getClientPemFromRemote() {
        // 实现从远程服务器获取PEM文件的逻辑
        return new byte[0];
    }

    interface YourApiService {
        // @RequestLine("GET /api/your-endpoint")
        // ApiResponse invokeYourEndpoint();
    }
}

关键说明 #

• withIdentityMaterial方法支持直接加载包含私钥和证书链的单个PEM文件，也支持分开加载私钥PEM和证书PEM（使用重载方法withIdentityMaterial(Path privateKeyPath, Path certificatePath, char[] password)）。
• 若服务器证书已被系统默认信任库信任，可省略withTrustMaterial配置，直接使用系统默认信任机制。
• 私钥无密码时，密码参数传null或new char[0]即可。

内容的提问来源于stack exchange，提问作者just_code_dog