如何配置Moquette-Broker使用BouncyCastle库建立TLS连接？

当然可以！Moquette作为一款灵活轻量的MQTT Broker，完全支持通过集成BouncyCastle库来定制TLS连接的实现——毕竟BouncyCastle丰富的配置选项正是它的核心优势之一。下面我会一步步带你完成配置和代码实现：

1. 引入BouncyCastle依赖 #

首先要在你的项目中添加BouncyCastle的核心和TLS扩展依赖，以Maven为例：

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk18on</artifactId>
    <version>1.78.1</version>
</dependency>
<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bctls-jdk18on</artifactId>
    <version>1.78.1</version>
</dependency>

如果用Gradle，依赖配置是这样：

implementation 'org.bouncycastle:bcprov-jdk18on:1.78.1'
implementation 'org.bouncycastle:bctls-jdk18on:1.78.1'

注意：请根据你的JDK版本选择对应后缀的依赖包，比如JDK11用jdk11on，JDK18+用jdk18on。

2. 实现自定义BouncyCastle SSL上下文工厂 #

Moquette提供了SslContextFactory接口，允许我们替换默认的SSL上下文生成逻辑。我们可以基于这个接口，用BouncyCastle的工具类来创建定制化的TLS上下文：

import io.moquette.broker.security.SslContextFactory;
import org.bouncycastle.jce.provider.BouncyCastleProvider;
import org.bouncycastle.jsse.provider.BouncyCastleJsseProvider;

import javax.net.ssl.SSLContext;
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.TrustManagerFactory;
import java.io.FileInputStream;
import java.security.KeyStore;
import java.security.Security;

public class BouncyCastleSslContextFactory implements SslContextFactory {

    static {
        // 注册BouncyCastle作为安全提供者
        Security.addProvider(new BouncyCastleProvider());
        Security.addProvider(new BouncyCastleJsseProvider());
    }

    @Override
    public SSLContext createSslContext(String keystorePath, String keystorePassword, String truststorePath, String truststorePassword) throws Exception {
        // 加载密钥库（这里用BouncyCastle支持的PKCS12格式为例）
        KeyStore keyStore = KeyStore.getInstance("PKCS12", "BC");
        try (FileInputStream fis = new FileInputStream(keystorePath)) {
            keyStore.load(fis, keystorePassword.toCharArray());
        }

        // 初始化密钥管理器
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm(), "BCJSSE");
        kmf.init(keyStore, keystorePassword.toCharArray());

        // 加载信任库（可选，根据你的需求配置）
        KeyStore trustStore = KeyStore.getInstance("PKCS12", "BC");
        try (FileInputStream fis = new FileInputStream(truststorePath)) {
            trustStore.load(fis, truststorePassword.toCharArray());
        }

        // 初始化信任管理器
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm(), "BCJSSE");
        tmf.init(trustStore);

        // 创建基于BouncyCastle的TLS上下文，这里指定TLSv1.3协议
        SSLContext sslContext = SSLContext.getInstance("TLSv1.3", "BCJSSE");
        sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);

        // 如果你需要自定义加密套件或协议，可以在这里设置SSLParameters
        // SSLParameters params = sslContext.getDefaultSSLParameters();
        // params.setCipherSuites(new String[]{"TLS_AES_256_GCM_SHA384"});
        // sslContext.setDefaultSSLParameters(params);

        return sslContext;
    }
}

这个示例里已经实现了完整的密钥库/信任库加载逻辑，你可以根据需求调整协议版本、加密套件，甚至自定义证书验证规则——这正是BouncyCastle灵活性的体现。

3. 配置Moquette使用自定义SSL工厂 #

有两种方式让Moquette用上我们的自定义工厂：

方式一：通过配置文件 #

在Moquette的moquette.conf配置文件中添加以下配置：

# 启用SSL端口
sslPort=8883
# 指定我们的自定义SSL上下文工厂类全路径
sslContextFactory=com.yourpackage.BouncyCastleSslContextFactory
# 密钥库路径和密码
keystorePath=./your-keystore.p12
keystorePassword=your-keystore-password
# 信任库路径和密码（可选，如果你需要验证客户端证书）
truststorePath=./your-truststore.p12
truststorePassword=your-truststore-password

方式二：通过代码嵌入启动 #

如果是在Java项目中嵌入Moquette，可以直接通过代码配置：

import io.moquette.broker.Server;
import io.moquette.broker.config.MemoryConfig;

import java.util.Properties;

public class MoquetteBouncyCastleDemo {
    public static void main(String[] args) throws Exception {
        Properties configProps = new Properties();
        configProps.setProperty("sslPort", "8883");
        configProps.setProperty("sslContextFactory", "com.yourpackage.BouncyCastleSslContextFactory");
        configProps.setProperty("keystorePath", "./your-keystore.p12");
        configProps.setProperty("keystorePassword", "your-keystore-password");

        Server moquetteServer = new Server();
        moquetteServer.startServer(new MemoryConfig(configProps));
        System.out.println("Moquette Broker with BouncyCastle TLS started on port 8883");
    }
}

4. 额外注意事项 #

• 确保你的密钥库/信任库格式被BouncyCastle支持，比如PKCS12、JKS，甚至更特殊的格式如PEM（需要额外的解析逻辑）。
• 如果需要实现客户端证书双向认证，只需要在SSL上下文中配置好信任管理器，并在Moquette配置中开启requireClientAuth=true。
• 定期更新BouncyCastle的版本，以获取最新的安全补丁和加密算法支持。

内容的提问来源于stack exchange，提问作者D. Kre