如何在JSF中使用数字证书？客户端令牌设备签名XML及私钥提取问询

嘿，我来帮你搞定这个问题——毕竟Applet现在早就被主流浏览器弃用了，换成JSF生态的方案才是长期可行的选择。下面我分步骤给你梳理清楚：

一、JSF中数字证书的基础集成思路 #

JSF本身是MVC框架，核心负责前端页面交互和后端业务逻辑的绑定，数字证书和密钥的操作其实依赖Java的JCA/JCE（Java加密体系），JSF只需要把这些操作封装成可被前端触发的Bean方法即可。

你可以用@ManagedBean或者CDI的@Named来创建一个密钥管理Bean，前端通过JSF表单组件（比如h:commandButton、h:inputText）传递用户输入（比如令牌PIN码、证书别名），触发Bean中的方法完成私钥提取和XML签名。

二、替代Applet：从令牌设备提取私钥的现代方案 #

现在主流的令牌设备（比如USB Key、智能卡）都支持PKCS#11标准，我们可以直接在Java后端通过SunPKCS11 Provider来访问令牌中的密钥库，完全不需要依赖Applet。

步骤1：配置PKCS#11驱动 #

首先要确保客户端安装了令牌对应的PKCS#11驱动，然后在Java代码中指定驱动库的路径（不同操作系统路径不同）：

@ManagedBean
@RequestScoped
public class TokenSignatureBean {
    // 配置PKCS#11驱动，根据你的操作系统修改library路径
    private static final String PKCS11_CONFIG = 
        "name=SmartCard\n" +
        "library=/usr/local/lib/libpkcs11.so"; // Linux示例，Windows用xxx.dll，Mac用xxx.dylib

    private String selectedAlias;
    private String pin;
    // getter和setter省略

    // 提取令牌中的私钥
    private PrivateKey getTokenPrivateKey() throws Exception {
        // 加载PKCS#11 Provider
        ByteArrayInputStream configStream = new ByteArrayInputStream(PKCS11_CONFIG.getBytes());
        Provider pkcs11Provider = new sun.security.pkcs11.SunPKCS11(configStream);
        Security.addProvider(pkcs11Provider);

        // 打开令牌的密钥库（PIN码由用户输入）
        KeyStore keyStore = KeyStore.getInstance("PKCS11");
        keyStore.load(null, pin.toCharArray());

        // 根据别名获取私钥
        Key key = keyStore.getKey(selectedAlias, pin.toCharArray());
        if (key instanceof PrivateKey) {
            return (PrivateKey) key;
        }
        throw new IllegalArgumentException("所选别名对应的不是私钥");
    }
}

步骤2：前端交互获取用户输入 #

在JSF页面中创建表单，让用户选择令牌中的证书别名、输入PIN码：

<h:form>
    <h:outputLabel value="选择令牌证书:" for="aliasSelect" />
    <h:selectOneMenu id="aliasSelect" value="#{tokenSignatureBean.selectedAlias}">
        <f:selectItems value="#{tokenSignatureBean.tokenAliases}" var="alias" 
                       itemValue="#{alias}" itemLabel="#{alias}" />
    </h:selectOneMenu>

    <h:outputLabel value="令牌PIN码:" for="pinInput" />
    <h:inputSecret id="pinInput" value="#{tokenSignatureBean.pin}" required="true" />

    <h:commandButton value="签名XML文档" action="#{tokenSignatureBean.signXml}" />
</h:form>

步骤3：枚举令牌中的证书别名 #

为了让用户能选择证书，你可以在Bean中添加方法枚举令牌里的所有密钥别名：

public List<String> getTokenAliases() throws Exception {
    ByteArrayInputStream configStream = new ByteArrayInputStream(PKCS11_CONFIG.getBytes());
    Provider pkcs11Provider = new sun.security.pkcs11.SunPKCS11(configStream);
    Security.addProvider(pkcs11Provider);

    KeyStore keyStore = KeyStore.getInstance("PKCS11");
    keyStore.load(null, pin.toCharArray()); // 这里可以先让用户输入PIN再加载，或者调整逻辑

    List<String> aliases = new ArrayList<>();
    Enumeration<String> aliasEnum = keyStore.aliases();
    while (aliasEnum.hasMoreElements()) {
        String alias = aliasEnum.nextElement();
        if (keyStore.isKeyEntry(alias)) {
            aliases.add(alias);
        }
    }
    return aliases;
}

三、结合私钥完成XML文档签名 #

拿到私钥后，我们可以用Java的XMLDSig API完成XML签名，这个API是JDK自带的，不需要额外依赖。

在Bean中添加签名方法：

public String signXml() {
    try {
        PrivateKey privateKey = getTokenPrivateKey();
        KeyStore keyStore = KeyStore.getInstance("PKCS11");
        keyStore.load(null, pin.toCharArray());
        // 获取对应证书（用于嵌入签名，方便验证方确认身份）
        X509Certificate cert = (X509Certificate) keyStore.getCertificate(selectedAlias);

        // 加载要签名的XML文档（这里示例是加载本地文件，实际可以是用户上传的文件）
        DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
        dbf.setNamespaceAware(true);
        Document doc = dbf.newDocumentBuilder().parse(new File("/path/to/your/document.xml"));

        // 创建XML签名工厂
        XMLSignatureFactory fac = XMLSignatureFactory.getInstance("DOM");

        // 创建引用：指定要签名的文档部分（这里是整个XML）
        Reference ref = fac.newReference(
            "", 
            fac.newDigestMethod(DigestMethod.SHA256, null),
            Collections.singletonList(fac.newTransform(Transform.ENVELOPED, (TransformParameterSpec) null)),
            null, 
            null
        );

        // 创建签名信息：指定规范化方法、签名算法
        SignedInfo si = fac.newSignedInfo(
            fac.newCanonicalizationMethod(CanonicalizationMethod.INCLUSIVE, null),
            fac.newSignatureMethod(SignatureMethod.RSA_SHA256, null),
            Collections.singletonList(ref)
        );

        // 创建密钥信息：嵌入证书
        KeyInfoFactory kif = fac.getKeyInfoFactory();
        List<X509Certificate> certList = new ArrayList<>();
        certList.add(cert);
        X509Data x509Data = kif.newX509Data(certList);
        KeyInfo ki = kif.newKeyInfo(Collections.singletonList(x509Data));

        // 生成签名并应用到XML文档
        XMLSignature signature = fac.newXMLSignature(si, ki);
        DOMSignContext dsc = new DOMSignContext(privateKey, doc.getDocumentElement());
        signature.sign(dsc);

        // 保存签名后的XML（实际可以返回给用户下载，或者存储到服务器）
        TransformerFactory tf = TransformerFactory.newInstance();
        Transformer trans = tf.newTransformer();
        trans.transform(new DOMSource(doc), new StreamResult(new File("/path/to/signed_document.xml")));

        // 返回JSF导航结果，跳转到成功页面
        return "signatureSuccess?faces-redirect=true";
    } catch (Exception e) {
        e.printStackTrace();
        // 可以添加错误消息提示用户
        FacesContext.getCurrentInstance().addMessage(null, new FacesMessage(FacesMessage.SEVERITY_ERROR, "签名失败", e.getMessage()));
        return "signatureError?faces-redirect=true";
    }
}

注意事项 #

• PKCS#11驱动路径：不同操作系统的驱动库路径不同，需要根据部署环境调整，也可以把配置放到外部文件中，避免硬编码。
• 权限问题：运行JSF应用的服务器进程需要有访问令牌设备的权限，比如Linux下可能需要添加用户到plugdev组。
• 用户体验：可以添加AJAX加载别名列表，避免页面刷新；签名过程可能耗时，添加加载提示。
• 异常处理：要捕获令牌连接失败、PIN错误、密钥不存在等异常，给用户清晰的错误提示。

内容的提问来源于stack exchange，提问作者Fabio Moraes