如何使用Java结合OCSP编程校验证书是否未被吊销

方案1：JDK标准公开API实现（无额外依赖） #

完全使用java.security.cert包下的公开标准能力，无需依赖第三方包，也不需要调用JDK内部类，兼容性有保障，可以直接封装成通用静态方法调用。
核心实现逻辑：

• 加载待校验的终端证书、对应的CA签发证书链
• 从证书的授权信息访问（AIA）扩展字段自动提取OCSP服务端地址
• 配置CertPathValidator参数，开启OCSP校验开关，可按需关闭CRL回退逻辑
• 执行证书路径校验，通过校验结果/抛出的特定异常判断证书是否被吊销

可直接复用的封装示例：

import java.security.cert.*;
import java.util.Collections;
import java.util.EnumSet;

public class OCSPChecker {
    /**
     * 校验证书是否未被吊销
     * @param cert 待校验的终端证书
     * @param caCert 签发该证书的CA证书
     * @return true=证书正常未吊销，false=证书已吊销/校验不通过
     */
    public static boolean checkCertificateRevocationStatus(X509Certificate cert, X509Certificate caCert) throws Exception {
        // 配置OCSP全局参数
        System.setProperty("com.sun.security.enableOCSP", "true");
        System.setProperty("com.sun.security.ocsp.timeout", "5000"); // 请求超时5秒

        // 构造证书路径
        CertificateFactory cf = CertificateFactory.getInstance("X.509");
        CertPath certPath = cf.generateCertPath(Collections.singletonList(cert));

        // 配置信任锚
        TrustAnchor anchor = new TrustAnchor(caCert, null);
        PKIXParameters params = new PKIXParameters(Collections.singleton(anchor));
        params.setRevocationEnabled(true);

        // 使用JDK公开API获取OCSP校验器，不依赖任何内部类
        CertPathValidator cpv = CertPathValidator.getInstance("PKIX");
        PKIXRevocationChecker revocationChecker = (PKIXRevocationChecker) cpv.getRevocationChecker();
        // 配置为不回退到CRL校验，仅走OCSP，不需要可删除该行
        revocationChecker.setOptions(EnumSet.of(PKIXRevocationChecker.Option.NO_FALLBACK));
        params.addCertPathChecker(revocationChecker);

        try {
            cpv.validate(certPath, params);
            return true;
        } catch (CertPathValidatorException e) {
            // 校验抛出异常即代表证书已吊销、失效或校验不通过
            return false;
        }
    }
}

注：该实现适配JDK 8及以上所有版本，完全没有使用sun.*开头的非公开内部类，不会出现跨JDK版本、跨JDK厂商的兼容性问题。

方案2：开源库实现（代码更简洁） #

如果不想自行处理OCSP请求构造、响应解析的细节，可以使用BouncyCastle成熟加密库，封装程度更高，代码逻辑更直观：

• 引入BouncyCastle的bcprov、bcpkix依赖
• 从证书提取OCSP地址后，直接调用库封装的OCSP请求、响应解析方法，直接拿到证书状态枚举

核心调用逻辑示例：

// 证书加载、OCSP地址提取逻辑省略
// 构造OCSP请求
OCSPReq request = new OCSPReqBuilder().addRequest(
    new CertificateID(CertificateID.HASH_SHA1, caCert, cert.getSerialNumber())
).build();
// 发送请求获取响应流后解析
BasicOCSPResp resp = (BasicOCSPResp) new OCSPResp(ocspResponseInputStream).getResponseObject();
for (SingleResp singleResp : resp.getResponses()) {
    Object status = singleResp.getCertStatus();
    if (status == CertificateStatus.GOOD) {
        // 证书正常未吊销
    } else if (status instanceof RevokedStatus) {
        // 证书已吊销
    } else if (status instanceof UnknownStatus) {
        // 证书状态未知
    }
}

注意事项 #

• 禁止直接使用sun.security.provider.certpath.OCSP这类JDK内部类，不同厂商、不同版本的JDK对内部类的实现、路径没有统一规范，升级JDK版本很容易出现兼容性故障
• 生产环境使用需要配置合理的OCSP请求超时时间，同时建议增加OCSP装订、CRL校验作为兜底方案，避免OCSP服务不可用导致业务逻辑异常
• 注意校验OCSP响应本身的签名合法性，避免伪造响应绕过校验

内容的提问来源于stack exchange，提问作者George