SSL Socket服务器双向握手后客户端证书CN显示未知的问题

我来帮你搞定这个问题——客户端证书CN显示Unknown，十有八九是你的SSL服务器没强制要求客户端提供证书，或者握手时客户端根本没把证书传过来，导致服务器拿不到有效证书。以下是具体的排查和解决步骤：

双向SSL（Mutual SSL）的核心是服务器既要向客户端提供证书，也要强制客户端提交自己的证书。如果你的服务器只是开启了SSL但没配置客户端证书验证，握手完成后自然拿不到客户端证书，CN字段就会显示Unknown。

1. 先确保SSL服务器强制要求客户端证书 #

这是最关键的一步——你需要在创建SSLServerSocket时，明确开启客户端证书的强制验证：

// 加载服务器密钥库、信任库的代码省略（确保包含服务器自签证书和客户端证书）
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), new SecureRandom());

SSLServerSocketFactory sslServerSocketFactory = sslContext.getServerSocketFactory();
SSLServerSocket sslServerSocket = (SSLServerSocket) sslServerSocketFactory.createServerSocket(8443);

// 核心设置：强制客户端必须提供证书，否则握手失败
sslServerSocket.setNeedClientAuth(true);

注意：如果之前用的是setWantClientAuth(true)，客户端可以选择不传证书，这时候服务器拿到的证书数组就是空的，CN自然会显示Unknown。

2. 修正握手监听器代码，正确解析客户端证书 #

你的代码片段不完整，完整的证书CN解析逻辑需要先判断证书是否存在，再提取CN字段：

((SSLSocket) socket).addHandshakeCompletedListener(new HandshakeCompletedListener() {
    @Override
    public void handshakeCompleted(HandshakeCompletedEvent hce) {
        // 获取客户端证书链
        Certificate[] peerCerts = hce.getPeerCertificates();
        if (peerCerts != null && peerCerts.length > 0) {
            X509Certificate clientCert = (X509Certificate) peerCerts[0];
            // 从证书主题DN中提取CN
            String subjectDN = clientCert.getSubjectDN().getName();
            String clientCN = extractCN(subjectDN);
            System.out.println("客户端证书CN：" + clientCN);
        } else {
            System.out.println("未获取到有效客户端证书");
        }
    }
});

// 辅助方法：从Subject DN字符串中提取CN字段
private String extractCN(String subjectDN) {
    String[] dnSegments = subjectDN.split(",");
    for (String segment : dnSegments) {
        String trimmed = segment.trim();
        if (trimmed.startsWith("CN=")) {
            return trimmed.substring(3);
        }
    }
    return "Unknown";
}

之前显示Unknown很大概率是因为peerCerts为空，直接走到了默认返回逻辑。先判断证书数组是否有效，再解析才是正确的做法。

3. 额外检查点 #

• 客户端是否正确配置证书：客户端必须加载自己的密钥库（包含自签证书），并将服务器证书加入信任库，否则不会在握手时提交证书。
• 服务器信任库是否包含客户端证书：服务器必须信任客户端的自签证书，否则开启setNeedClientAuth(true)后握手会直接失败。

按照上面的步骤配置后，应该就能正常获取到客户端证书的CN字段了。

内容的提问来源于stack exchange，提问作者Galveston01