Jetty 9 启用域名验证证书的OCSP Stapling遇问题求助

我来帮你搞定Jetty 9启用OCSP Stapling的问题，结合你用Comodo PositiveSSL证书的场景，一步步梳理排查和配置方法：

一、先确认证书与密钥库的正确性 #

你已经开始转换PKCS12格式了，这里要注意必须包含完整的证书链（用户证书+Comodo中间CA证书），否则Jetty无法正确发起OCSP请求。完整的转换命令应该是这样的：

# 把用户证书、私钥、中间CA合并成PKCS12格式
openssl pkcs12 -export -out dev.mydomain.com.pkcs12 -in dev.mydomain.com.crt -inkey dev.mydomain.com.key -certfile COMODORSADomainValidationSecureServerCA.crt

如果需要导入到JKS密钥库（Jetty也支持直接用PKCS12，看你习惯），执行：

keytool -importkeystore -srckeystore dev.mydomain.com.pkcs12 -srcstoretype PKCS12 -destkeystore dev.mydomain.com.jks -deststoretype JKS

二、Jetty 9中OCSP Stapling核心配置 #

Jetty 9的版本差异会影响配置参数，分两种情况说明：

1. Jetty 9.4+（推荐，更稳定） #

在你的SSL连接器配置文件（比如jetty-ssl.xml）中添加OCSP相关配置：

<New id="sslContextFactory" class="org.eclipse.jetty.util.ssl.SslContextFactory.Server">
  <!-- 密钥库基础配置 -->
  <Set name="KeyStorePath"><Property name="jetty.base" default="."/>/etc/dev.mydomain.com.jks</Set>
  <Set name="KeyStorePassword">你的密钥库密码</Set>
  <Set name="KeyManagerPassword">你的私钥密码</Set>
  <Set name="TrustStorePath"><Property name="jetty.base" default="."/>/etc/cacerts</Set>
  <Set name="TrustStorePassword">changeit</Set>

  <!-- 启用OCSP Stapling核心配置 -->
  <Set name="EnableOcspStapling">true</Set>
  <!-- 手动指定Comodo的OCSP地址（可选，但比自动获取更可靠） -->
  <Set name="OcspResponderURL">http://ocsp.comodoca.com</Set>
  <!-- OCSP响应缓存时长，默认3600秒 -->
  <Set name="OcspCacheDuration">3600</Set>
  <!-- 允许OCSP查询失败时继续握手（避免OCSP服务挂了导致网站无法访问） -->
  <Set name="OcspFailSoft">true</Set>
</New>

2. Jetty 9.3及以下版本 #

旧版的参数名略有不同，配置示例：

<New id="sslContextFactory" class="org.eclipse.jetty.util.ssl.SslContextFactory">
  <!-- 密钥库基础配置同上 -->
  <Set name="ocspEnabled">true</Set>
  <Set name="ocspResponderURL">http://ocsp.comodoca.com</Set>
  <Set name="ocspFailSoft">true</Set>
</New>

三、常见问题排查步骤 #

1. 检查证书链完整性
   用keytool查看密钥库中的证书链，确保包含中间CA：

   keytool -list -v -keystore dev.mydomain.com.jks
   

   如果输出里只有用户证书，说明转换时没加中间CA，需要重新生成密钥库。

2. 手动测试OCSP连通性
   先确认Jetty服务器能访问Comodo的OCSP服务，执行：

   openssl ocsp -issuer COMODORSADomainValidationSecureServerCA.crt -cert dev.mydomain.com.crt -url http://ocsp.comodoca.com -text
   

   如果返回Response verify OK，说明OCSP服务正常；如果超时/报错，检查服务器网络是否能访问公网OCSP地址。

3. 查看Jetty日志找问题
   开启DEBUG级别的SSL日志，能看到OCSP的详细报错：
   在jetty-logging.xml中添加：

   <Logger name="org.eclipse.jetty.util.ssl" level="DEBUG"/>
   

   启动Jetty后，查看日志里的OCSP相关信息，比如是否有证书链错误、OCSP请求失败的提示。

4. 验证OCSP Stapling是否生效
   用openssl客户端测试：

   openssl s_client -connect dev.mydomain.com:443 -status
   

   在输出中找OCSP Response Data部分，如果能看到完整的OCSP响应内容，说明配置生效；如果显示OCSP response: no response sent，说明还有配置问题。

四、本地测试的特殊注意事项 #

因为你的域名指向127.0.0.1，本地测试要注意：

• 确保hosts文件配置了127.0.0.1 dev.mydomain.com
• 测试时必须用域名访问，不能用localhost，否则证书会不匹配
• 如果本地有代理/防火墙，要确保Jetty能出站访问http://ocsp.comodoca.com（OCSP用的是HTTP协议，端口80）

内容的提问来源于stack exchange，提问作者YuviDroid