如何向BouncyCastle TLSSocketConnectionFactory添加证书？

我来帮你梳理下如何把证书集成到BouncyCastle的TLSSocketConnectionFactory中，结合你之前用JDK SSLContext的经验，调整后的实现大概是这样的：

第一步：准备BouncyCastle依赖 #

首先得确保你的项目里引入了BouncyCastle的核心和PKIX模块，比如用Maven的话，添加以下依赖：

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk15on</artifactId>
    <version>1.77</version> <!-- 建议用最新稳定版 -->
</dependency>
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcpkix-jdk15on</artifactId>
    <version>1.77</version>
</dependency>

第二步：初始化BouncyCastle安全提供者 #

在代码开头先把BouncyCastle加入Java的安全体系：

import org.bouncycastle.jce.provider.BouncyCastleProvider;
import java.security.Security;

// 初始化BouncyCastle提供者
Security.addProvider(new BouncyCastleProvider());

第三步：加载并准备信任证书 #

这部分和你原来的代码类似，但要指定用BouncyCastle的证书工厂：

import java.io.BufferedInputStream;
import java.io.FileInputStream;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

// 加载信任的CA证书
CertificateFactory cf = CertificateFactory.getInstance("X.509", "BC");
BufferedInputStream caInput = new BufferedInputStream(new FileInputStream("c:/cert/test-tls.cer"));
X509Certificate trustedCa = (X509Certificate) cf.generateCertificate(caInput);
caInput.close();

第四步：实现自定义TlsClient处理证书验证 #

BouncyCastle的原生TLS API需要你实现TlsClient来处理证书校验逻辑，这里我们继承DefaultTlsClient并自定义认证逻辑：

import org.bouncycastle.tls.AlertDescription;
import org.bouncycastle.tls.Certificate;
import org.bouncycastle.tls.DefaultTlsClient;
import org.bouncycastle.tls.TlsAuthentication;
import org.bouncycastle.tls.TlsCredentials;
import org.bouncycastle.tls.TlsFatalAlert;

class CustomTlsClient extends DefaultTlsClient {
    private final X509Certificate trustedCa;

    public CustomTlsClient(X509Certificate trustedCa) {
        this.trustedCa = trustedCa;
    }

    @Override
    public TlsAuthentication getAuthentication() {
        return new TlsAuthentication() {
            @Override
            public void notifyServerCertificate(Certificate serverCertificate) {
                // 验证服务器证书是否由我们信任的CA签发
                try {
                    X509Certificate serverCert = (X509Certificate) serverCertificate.getCertificateAt(0);
                    // 用CA公钥验证服务器证书的签名
                    serverCert.verify(trustedCa.getPublicKey());
                    // 也可以额外检查证书有效期、域名匹配等
                } catch (Exception e) {
                    throw new TlsFatalAlert(AlertDescription.bad_certificate);
                }
            }

            @Override
            public TlsCredentials getClientCredentials(CertificateRequest certificateRequest) {
                // 如果不需要客户端证书认证，直接返回null即可
                return null;
            }
        };
    }
}

第五步：创建TLSSocketConnectionFactory并建立连接 #

最后用自定义的TlsClient创建连接工厂，发起TLS连接：

import org.bouncycastle.tls.TLSSocketConnectionFactory;
import java.net.Socket;

// 创建自定义TLS客户端
CustomTlsClient tlsClient = new CustomTlsClient(trustedCa);
// 初始化连接工厂
TLSSocketConnectionFactory factory = new TLSSocketConnectionFactory(tlsClient);
// 建立到目标服务器的连接
Socket socket = factory.createSocket("your-server-domain", 443);

// 之后就可以像普通Socket一样读写数据了
// OutputStream out = socket.getOutputStream();
// InputStream in = socket.getInputStream();
// ... 你的业务逻辑代码

一些注意事项 #

• 如果需要支持TLS 1.2或1.3，可以在DefaultTlsClient构造时指定协议版本，比如：new DefaultTlsClient(ProtocolVersion.TLSv13)
• 如果需要客户端证书认证，要在getClientCredentials方法中返回TlsCredentials，需要加载客户端的证书和私钥（可以从KeyStore中读取）
• 记得处理IO异常和TLS相关的异常，保证连接的稳定性

内容的提问来源于stack exchange，提问作者Ferguson