Spring Boot中PKIXRevocationChecker自定义及证书吊销检查相关问题

1. 开启ocsp.enable=true和com.sun.security.enableCRLDP=true后，应用是否默认检查信任库证书的吊销状态？ #

简单来说：开启这两个系统属性后，Java的PKIX证书验证机制会尝试执行吊销检查，但并非强制的硬检查，且实际行为受默认配置的限制。

具体细节：

• 这两个属性分别启用了OCSP（在线证书状态协议）和CRLDP（CRL分发点）的支持，让Java在验证证书链时，能够尝试从证书中指定的OCSP URI或CRL分发点获取吊销信息。
• 默认情况下，Java内置的PKIXRevocationChecker采用SOFT_FAIL模式：如果无法获取吊销信息（比如网络故障、OCSP/CRL服务器无响应），验证不会失败，只会在日志中记录一条警告。
• 只有当证书本身包含OCSP URI或CRL分发点的扩展信息时，才会触发实际的吊销检查；如果证书没有这些信息，哪怕开启了这两个属性，也不会执行检查。
• 另外，默认的SSLContext是否触发吊销检查，还取决于具体的验证场景：比如HTTPS连接中，默认的X509TrustManager会使用PKIX验证逻辑，此时会启用上述检查；但如果应用自定义了TrustManager且没有显式处理吊销检查，那可能不会触发。

2. 自定义PKIXRevocationChecker的实现逻辑（非Spring Boot & Spring Boot） #

非Spring Boot应用的实现方式 #

要自定义吊销检查逻辑，你需要创建PKIXRevocationChecker的子类，替换掉默认的检查器，再将其整合到证书验证流程中。

步骤示例：

1. 实现自定义吊销检查器

import java.security.cert.CertPathValidatorException;
import java.security.cert.PKIXRevocationChecker;
import java.security.cert.X509Certificate;
import java.util.Collection;

public class CustomRevocationChecker extends PKIXRevocationChecker {

    @Override
    public void check(X509Certificate cert, Collection<String> unresolvedCritExts) throws CertPathValidatorException {
        // 在这里实现你的自定义吊销检查逻辑
        // 示例：仅对特定CA签发的证书执行严格吊销检查
        String issuerDN = cert.getIssuerX500Principal().getName();
        if ("CN=MyTrustedInternalCA, O=MyCompany".equals(issuerDN)) {
            // 调用父类默认逻辑执行严格检查
            super.check(cert, unresolvedCritExts);
        } else {
            // 跳过其他CA证书的吊销检查
            return;
        }
    }

    @Override
    public PKIXRevocationChecker clone() {
        // 必须实现clone方法，PKIXParameters会复制检查器实例
        return new CustomRevocationChecker();
    }
}

2. 整合自定义检查器到TrustManager
   你需要自定义X509TrustManager，在证书验证环节注入自定义检查器：

import java.security.KeyStore;
import java.security.cert.CertPath;
import java.security.cert.CertPathValidator;
import java.security.cert.PKIXParameters;
import java.security.cert.X509Certificate;
import java.util.ArrayList;
import java.util.List;
import javax.net.ssl.X509TrustManager;

public class CustomTrustManager implements X509TrustManager {

    private final KeyStore trustStore;
    private final CertPathValidator cpv;

    public CustomTrustManager(KeyStore trustStore) throws Exception {
        this.trustStore = trustStore;
        this.cpv = CertPathValidator.getInstance("PKIX");
    }

    @Override
    public void checkServerTrusted(X509Certificate[] chain, String authType) throws Exception {
        // 构建待验证的证书路径
        List<X509Certificate> certList = new ArrayList<>(List.of(chain));
        CertPath certPath = java.security.cert.CertificateFactory.getInstance("X.509")
                .generateCertPath(certList);

        // 配置PKIX验证参数
        PKIXParameters params = new PKIXParameters(trustStore);
        params.setRevocationEnabled(true);

        // 移除默认的吊销检查器
        List<java.security.cert.PKIXCertPathChecker> checkers = params.getCertPathCheckers();
        checkers.removeIf(c -> c instanceof PKIXRevocationChecker);

        // 添加自定义检查器，并设置验证选项（比如硬失败：无法获取吊销信息则验证失败）
        CustomRevocationChecker customChecker = new CustomRevocationChecker();
        customChecker.setOptions(java.util.EnumSet.of(PKIXRevocationChecker.Option.HARD_FAIL));
        checkers.add(customChecker);

        params.setCertPathCheckers(checkers);

        // 执行证书路径验证
        cpv.validate(certPath, params);
    }

    // 实现其他必要方法
    @Override
    public void checkClientTrusted(X509Certificate[] chain, String authType) {}

    @Override
    public X509Certificate[] getAcceptedIssuers() {
        try {
            return trustStore.getCertificateChain(trustStore.aliases().nextElement());
        } catch (Exception e) {
            return new X509Certificate[0];
        }
    }
}

3. 构建使用自定义TrustManager的SSLContext

import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManager;

public class CustomSslContextBuilder {
    public static SSLContext build(KeyStore trustStore) throws Exception {
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, new TrustManager[]{new CustomTrustManager(trustStore)}, null);
        return sslContext;
    }
}

Spring Boot应用的实现方式 #

Spring Boot中可以通过多种方式整合自定义检查器，这里给出两种常见场景的配置：

场景1：配置全局SSLContext（用于Web容器或全局HTTP调用）

1. 注册自定义TrustManager和SSLContext Bean

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.security.KeyStore;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManager;

@Configuration
public class SslConfig {

    @Bean
    public CustomTrustManager customTrustManager(KeyStore trustStore) throws Exception {
        return new CustomTrustManager(trustStore);
    }

    @Bean
    public SSLContext customSslContext(CustomTrustManager customTrustManager) throws Exception {
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, new TrustManager[]{customTrustManager}, null);
        return sslContext;
    }
}

2. 配置Tomcat使用自定义SSLContext

import org.springframework.boot.web.embedded.tomcat.TomcatServletWebServerFactory;
import org.springframework.boot.web.server.WebServerFactoryCustomizer;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import javax.net.ssl.SSLContext;

@Configuration
public class TomcatSslConfig {

    @Bean
    public WebServerFactoryCustomizer<TomcatServletWebServerFactory> tomcatSslCustomizer(SSLContext customSslContext) {
        return factory -> {
            factory.getSsl().setSslContext(customSslContext);
            // 可添加其他SSL配置（如密钥库、协议版本等）
        };
    }
}

场景2：为RestTemplate配置自定义SSLContext

如果仅需要在调用外部服务时使用自定义检查器，可以给RestTemplate绑定自定义HTTP客户端：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.client.HttpComponentsClientHttpRequestFactory;
import org.springframework.web.client.RestTemplate;
import javax.net.ssl.SSLContext;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;

@Configuration
public class RestTemplateConfig {

    @Bean
    public RestTemplate customRestTemplate(SSLContext customSslContext) throws Exception {
        CloseableHttpClient httpClient = HttpClients.custom()
                .setSSLContext(customSslContext)
                .build();
        HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory(httpClient);
        return new RestTemplate(factory);
    }
}

内容的提问来源于stack exchange，提问作者Илья Белейчев