配置AWS API Gateway客户端证书与Java信任库，实现Akka Http请求验证

我来帮你把这个配置补全并解释清楚——在Akka HTTP 2.4.x里配置信任库来验证AWS API Gateway发送的客户端证书，核心是正确构建HTTPS连接上下文并启用客户端证书验证逻辑。

1. 补全useHttps方法实现 #

这个方法需要负责加载信任库、配置SSL上下文，并返回Akka HTTP所需的HttpsConnectionContext。下面是完整的可运行代码：

private HttpsConnectionContext useHttps(ActorSystem system) {
    // 从你的配置类读取信任库相关参数
    String trustStorePath = properties.trustStorePath();
    String trustStorePassword = properties.trustStorePassword();
    // 默认用JKS格式，也可以从配置指定PKCS12等类型
    String trustStoreType = properties.trustStoreType() != null ? properties.trustStoreType() : "JKS";

    try {
        // 加载信任库文件
        KeyStore trustStore = KeyStore.getInstance(trustStoreType);
        FileInputStream trustStoreStream = new FileInputStream(trustStorePath);
        trustStore.load(trustStoreStream, trustStorePassword.toCharArray());

        // 初始化信任管理器工厂，用于验证客户端证书
        TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        trustManagerFactory.init(trustStore);

        // 构建SSL上下文，绑定信任管理器
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, trustManagerFactory.getTrustManagers(), new SecureRandom());

        // 配置Akka HTTP的HTTPS设置，强制要求客户端提供有效证书
        HttpsSettings httpsSettings = new HttpsSettings().withClientAuth(ClientAuth.REQUIRE);
        return ConnectionContext.https(sslContext, httpsSettings);
    } catch (Exception e) {
        log.error("Failed to initialize HTTPS connection context", e);
        throw new RuntimeException("HTTPS setup failed", e);
    }
}

2. 绑定服务器时启用HTTPS上下文 #

接下来在你的服务启动逻辑中，把构建好的HTTPS上下文传入绑定方法：

final Http http = Http.get(system);
final ActorMaterializer materializer = ActorMaterializer.create(system);

if (properties.useSSL()) {
    log.info("Starting HTTPS server on {}:{}", properties.urlSSL(), properties.port());
    HttpsConnectionContext httpsContext = useHttps(system);
    
    // 替换成你实际的业务路由
    Route yourServiceRoute = ...;

    // 绑定服务器并启用HTTPS验证
    http.bindAndHandle(
        yourServiceRoute.flow(system, materializer),
        ConnectHttp.toHostHttps(properties.urlSSL(), properties.port()),
        httpsContext,
        materializer
    );
}

关键注意事项 #

• 信任库内容要求：你的Java信任库必须包含能验证AWS API Gateway客户端证书的可信证书——如果API Gateway用的是AWS ACM签发的证书，需要导入对应的ACM根CA或中间CA证书到信任库中，不要直接导入客户端证书（方便后续证书轮换）。
• 客户端验证模式：ClientAuth.REQUIRE表示所有入站请求必须携带有效客户端证书，若想允许部分请求不携带证书（但携带的话必须验证），可以改用ClientAuth.REQUEST。
• Akka 2.4.x版本适配：这个版本的ConnectionContext.https方法需要同时传入SSLContext和HttpsSettings，和更高版本的API有差异，注意不要混用新版本写法。
• 配置灵活性：建议把信任库路径、密码、类型这些参数放到配置文件（比如application.conf）中，通过你的properties类读取，避免硬编码。

验证配置有效性 #

你可以通过两种方式测试：

1. 发送不带有效客户端证书的请求，应该会触发TLS握手失败，无法到达你的业务路由。
2. 携带由信任库中CA签发的客户端证书发送请求，应该能正常通过验证并处理业务逻辑。

内容的提问来源于stack exchange，提问作者Abdeali Chandanwala