IBM Cloud Liberty应用开启request client certificate后无法获取证书信息求助

针对你在IBM Cloud上部署Liberty应用时遇到的客户端证书信息无法获取的问题，我整理了几个实用的解决思路，你可以逐一排查：

• 检查Liberty的SSL与Web容器配置
  客户端证书认证生效但应用拿不到数据，大概率是Liberty没把证书信息传递到应用层。你需要在server.xml里做两个关键配置：

  1. 确保HTTP端点的SSL选项开启了客户端认证并允许传递证书：

     <httpEndpoint id="defaultHttpEndpoint" httpPort="9080" httpsPort="9443">
         <sslOptions sslRef="yourSSLConfig" clientAuthentication="required" clientAuthenticationSupported="true"/>
     </httpEndpoint>
     

  2. 在应用的web.xml（或websphere-web.xml）中配置CLIENT-CERT认证方式，让容器知道要处理客户端证书：

     <login-config>
         <auth-method>CLIENT-CERT</auth-method>
         <realm-name>Client Certificate Realm</realm-name>
     </login-config>
     

• 使用标准API正确获取证书
  你提到req里有两个属性，但可能没用到正确的属性名。Java EE规范里，客户端证书会被放到javax.servlet.request.X509Certificate这个请求属性中，你可以用这段代码尝试获取：

  X509Certificate[] certs = (X509Certificate[]) request.getAttribute("javax.servlet.request.X509Certificate");
  if (certs != null && certs.length > 0) {
      X509Certificate clientCert = certs[0];
      // 提取客户端ID，比如从证书的DN字段获取
      String clientId = clientCert.getSubjectDN().getName();
      // 或者从Subject Alternative Name（SAN）扩展里提取更精准的标识
      Collection<List<?>> sanExtensions = clientCert.getSubjectAlternativeNames();
      // 这里可以根据你的业务需求解析SAN内容
  }
  

  如果上面的属性取不到，也可以试试Liberty特有的属性com.ibm.websphere.servlet.request.X509Certificate。

• 确认IBM Cloud路由的SSL透传设置
  因为请求会经过IBM Cloud的路由层（比如Cloud Foundry的GoRouter），如果路由终止了SSL连接，客户端证书会被路由处理，应用就拿不到原始证书了。你需要在IBM Cloud控制台检查自定义域名的路由配置：

  • 确保SSL终止模式设置为应用处理SSL（或者类似的“透传”选项），而不是路由终止SSL；
  • 确认路由的客户端证书验证选项是开启的，并且证书能透传到后端的Liberty应用。

• 启用Liberty调试日志排查问题
  如果上面的步骤都没解决，可以开启Liberty的SSL和Web容器日志，追踪证书传递的全过程：
  在server.xml中添加日志配置：

  <logging traceSpecification="com.ibm.ws.ssl.*=fine:com.ibm.ws.webcontainer.*=fine"/>
  

  然后查看Liberty的trace.log，搜索“X509Certificate”或“client certificate”关键词，看看证书是否被正确解析、传递到请求属性中，有没有报错信息。

• 验证客户端证书的格式与有效性
  最后可以用openssl工具测试客户端证书是否能正常发送到服务器：

  openssl s_client -connect your-custom-domain:443 -cert client.crt -key client.key
  

  查看输出内容，确认证书被服务器接收，并且没有出现证书验证失败的错误。

内容的提问来源于stack exchange，提问作者jeet