生成含多个策略限定符信息的证书策略结果与预期不符

问题根因 #

当前代码生成的证书策略结构不符合RFC5280规范，存在两个核心偏差：

• 层级结构错位：将两个策略限定符拆分为两个独立的PolicyInformation证书策略条目，预期合法结构为同一个证书策略OID下挂载多个不同类型的策略限定符
• 字段OID误用：把策略限定符的类型标识（如id_qt_unotice）当作顶层证书策略的OID使用，将限定符提升到了和证书策略平级的层级，完全打乱了ASN.1结构的嵌套关系

调整方案 #

按照X.509证书扩展的结构要求，将两个限定符归属于同一个证书策略条目，同时修正每个限定符的类型绑定：

1. 为每个策略限定符绑定自身的类型OID：CPS访问地址类限定符使用PolicyQualifierId.id_qt_cps，用户告知类限定符使用PolicyQualifierId.id_qt_unotice
2. 将两个构造完成的限定符放入同一个ASN.1序列，作为目标证书策略的附属限定符集合
3. 使用业务定义的正式证书策略OID，构造单个PolicyInformation对象
4. 用该单个策略对象生成最终的CertificatePolicies扩展结构
   调整后的代码示例：

private CertificatePolicies generateCertificatePolicies(Map<String, String> certificateParameters) {
    // 构造CPS类型策略限定符，绑定对应限定符OID
    PolicyQualifierInfo cpsQualifier = new PolicyQualifierInfo(
        PolicyQualifierId.id_qt_cps,
        certificateParameters.get("PolicyQualifierInfo")
    );
    // 构造用户告知类型策略限定符，绑定对应限定符OID
    PolicyQualifierInfo noticeQualifier = new PolicyQualifierInfo(
        PolicyQualifierId.id_qt_unotice,
        certificateParameters.get("PolicyQualifierUserNotice")
    );
    // 将两个限定符统一放入序列，作为同一证书策略下的限定符集合
    DERSequence qualifiersSeq = new DERSequence(new ASN1Encodable[] {cpsQualifier, noticeQualifier});
    // 使用业务定义的正式证书策略OID，构造单个策略信息对象
    ASN1ObjectIdentifier businessPolicyOid = new ASN1ObjectIdentifier(certificateParameters.get("PolicyQualifierInfoOID"));
    PolicyInformation policyInfo = new PolicyInformation(businessPolicyOid, qualifiersSeq);
    // 生成最终的证书策略扩展
    return new CertificatePolicies(policyInfo);
}

合规结构说明 #

调整后的结构完全匹配RFC5280定义的CertificatePolicies扩展结构：

• 扩展顶层为策略条目数组
• 每个策略条目对应唯一的业务证书策略OID
• 每个策略条目下可挂载任意数量的策略限定符，每个限定符独立携带类型标识和对应值

内容的提问来源于stack exchange，提问作者Pablo Arriola