Java 8 LAN环境下基于预共享密钥的TCP加密通信实现问询

嘿，针对你这个局域网内Java 8节点用共享密钥加密TCP通信的需求，用SSLSocket确实是个很合理的方向！不过因为你们的密钥是运行时才可知且所有节点共享的，标准SSL/TLS依赖证书链的流程不太适配，得做些定制化调整。下面是具体的实现思路和代码示例：

我们可以利用SSL/TLS的PSK（预共享密钥）模式来实现——这种模式不需要CA证书，直接用预先共享的密钥完成身份验证和加密，完美匹配你的场景。不过Java 8的SSLSocket默认不直接暴露PSK的配置入口，需要我们自定义密钥管理器来对接内部的PSK支持。

1. 自定义PSK密钥管理器：实现Java内部的PSKKeyManager接口，让它返回你们的共享密钥。
2. 初始化支持PSK的SSLContext：用PSK相关的加密套件创建SSLContext，绑定自定义的密钥管理器。
3. 创建加密Socket：用自定义的SSLContext生成SSLServerSocketFactory和SSLSocketFactory，分别创建服务器端和客户端的加密Socket。

服务器端代码 #

import javax.net.ssl.SSLServerSocket;
import javax.net.ssl.SSLServerSocketFactory;
import javax.net.ssl.SSLSocket;
import sun.security.ssl.PSKKeyManager;
import sun.security.ssl.SSLContextImpl;
import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.io.OutputStreamWriter;
import java.nio.charset.StandardCharsets;
import java.security.KeyManagementException;
import java.security.NoSuchAlgorithmException;

public class PSKSSLServer {
    // 运行时传入的共享密钥，建议从环境变量/加密配置读取，不要硬编码
    private static final String SHARED_PSK = System.getenv("LAN_SHARED_KEY");
    // 选择支持的PSK加密套件，优先选安全强度高的
    private static final String[] PSK_CIPHER_SUITES = {"TLS_ECDHE_PSK_WITH_AES_256_GCM_SHA384", "TLS_PSK_WITH_AES_128_CBC_SHA"};

    public static void main(String[] args) throws NoSuchAlgorithmException, KeyManagementException {
        // 自定义PSK密钥管理器，返回共享密钥
        PSKKeyManager pskKeyManager = new PSKKeyManager() {
            @Override
            public byte[] getKey(String identityHint) {
                return SHARED_PSK.getBytes(StandardCharsets.UTF_8);
            }

            @Override
            public String getIdentityHint() {
                return "lan-node-psk-hint"; // 给客户端的身份提示，可自定义
            }

            @Override
            public String chooseServerIdentityHint(String[] identityHints) {
                return getIdentityHint();
            }

            @Override
            public byte[] getKey(String identity, String identityHint) {
                return getKey(identityHint);
            }
        };

        // 初始化支持PSK的SSLContext
        SSLContextImpl sslContext = new SSLContextImpl("TLS");
        sslContext.init(null, new PSKKeyManager[]{pskKeyManager}, null);

        // 创建SSL服务器Socket
        SSLServerSocketFactory serverSocketFactory = sslContext.getServerSocketFactory();
        try (SSLServerSocket serverSocket = (SSLServerSocket) serverSocketFactory.createServerSocket(8888)) {
            serverSocket.setEnabledCipherSuites(PSK_CIPHER_SUITES);
            System.out.println("PSK加密服务器已启动，等待客户端连接...");

            while (true) {
                try (SSLSocket clientSocket = (SSLSocket) serverSocket.accept();
                     BufferedReader in = new BufferedReader(new InputStreamReader(clientSocket.getInputStream(), StandardCharsets.UTF_8));
                     OutputStreamWriter out = new OutputStreamWriter(clientSocket.getOutputStream(), StandardCharsets.UTF_8)) {

                    System.out.println("客户端已连接：" + clientSocket.getInetAddress());
                    String receivedMsg = in.readLine();
                    System.out.println("收到消息：" + receivedMsg);
                    // 发送响应
                    out.write("服务器已接收：" + receivedMsg + "\n");
                    out.flush();
                } catch (Exception e) {
                    System.err.println("客户端连接异常：" + e.getMessage());
                }
            }
        } catch (Exception e) {
            System.err.println("服务器启动失败：" + e.getMessage());
        }
    }
}

客户端代码 #

import javax.net.ssl.SSLSocket;
import javax.net.ssl.SSLSocketFactory;
import sun.security.ssl.PSKKeyManager;
import sun.security.ssl.SSLContextImpl;
import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.io.OutputStreamWriter;
import java.nio.charset.StandardCharsets;
import java.security.KeyManagementException;
import java.security.NoSuchAlgorithmException;

public class PSKSSLClient {
    // 和服务器一致的共享密钥
    private static final String SHARED_PSK = System.getenv("LAN_SHARED_KEY");
    private static final String[] PSK_CIPHER_SUITES = {"TLS_ECDHE_PSK_WITH_AES_256_GCM_SHA384", "TLS_PSK_WITH_AES_128_CBC_SHA"};

    public static void main(String[] args) throws NoSuchAlgorithmException, KeyManagementException {
        PSKKeyManager pskKeyManager = new PSKKeyManager() {
            @Override
            public byte[] getKey(String identityHint) {
                return SHARED_PSK.getBytes(StandardCharsets.UTF_8);
            }

            @Override
            public String getIdentityHint() {
                return null; // 客户端无需返回身份提示
            }

            @Override
            public String chooseServerIdentityHint(String[] identityHints) {
                return identityHints[0]; // 使用服务器返回的身份提示
            }

            @Override
            public byte[] getKey(String identity, String identityHint) {
                return getKey(identityHint);
            }
        };

        SSLContextImpl sslContext = new SSLContextImpl("TLS");
        sslContext.init(null, new PSKKeyManager[]{pskKeyManager}, null);

        SSLSocketFactory socketFactory = sslContext.getSocketFactory();
        // 替换为目标服务器的IP/端口
        try (SSLSocket socket = (SSLSocket) socketFactory.createSocket("192.168.1.100", 8888);
             OutputStreamWriter out = new OutputStreamWriter(socket.getOutputStream(), StandardCharsets.UTF_8);
             BufferedReader in = new BufferedReader(new InputStreamReader(socket.getInputStream(), StandardCharsets.UTF_8))) {

            socket.setEnabledCipherSuites(PSK_CIPHER_SUITES);
            // 发送测试消息
            String msg = "来自局域网客户端的消息！";
            out.write(msg + "\n");
            out.flush();
            // 读取服务器响应
            String response = in.readLine();
            System.out.println("服务器响应：" + response);
        } catch (Exception e) {
            System.err.println("客户端连接异常：" + e.getMessage());
        }
    }
}

• 内部API兼容性：上面的代码用到了sun.security.ssl包下的类，这是Java 8的内部API，在Java 9及以上版本会被限制访问。如果需要兼容更高版本，建议引入BouncyCastle库，它提供了标准的PSK支持，无需依赖内部API。
• 密钥安全：绝对不要硬编码共享密钥！建议从环境变量、加密的配置文件或者安全密钥管理服务中读取。
• 加密套件选择：尽量优先选择带ECDHE和GCM的套件（比如TLS_ECDHE_PSK_WITH_AES_256_GCM_SHA384），这类套件提供前向保密和更好的完整性保护。注意Java 8默认可能不支持高强度加密套件，需要安装Java无限制强度加密政策文件。
• 替代方案：如果不想用PSK，也可以在普通Socket之上自己实现对称加密（比如AES-GCM），但这种方式需要自己处理密钥协商、消息分片、完整性校验等细节，容易出现安全漏洞，不如SSLSocket的PSK模式规范可靠。

内容的提问来源于stack exchange，提问作者Rossman