SSLSocket等仅用SSLParameters部分属性，其余属性用途何在？

你观察得很准——确实SSLSocket、SSLServerSocket、SSLEngine的setSSLParameters方法里只直接用到了四个属性，但剩下的那些属性可不是摆设，它们在标准JSSE实现（也就是OpenJDK/Oracle JDK默认的SSL框架）里就有实实在在的用途，绝非仅针对自定义重量级实现。下面逐个拆解：

• algorithmConstraints：这是比cipherSuites更细粒度的算法管控工具。cipherSuites是控制整套加密套件，而这个属性可以单独限制某类算法——比如禁止使用SHA-1签名算法，不管它属于哪个加密套件。标准实现会用它来满足安全合规要求，比如某些行业规范禁止特定弱算法，就能通过这个属性全局限制，不用逐个筛选加密套件。

• endpointIdentificationAlgorithm：这个是客户端用来防中间人攻击的关键配置。比如当你设置它为"HTTPS"时，客户端会强制验证服务器证书中的域名和你实际访问的主机名是否匹配。标准的HttpsURLConnection就依赖这个属性来实现主机名验证，避免你连接到伪造的恶意服务器。

• serverNames：这是SNI（Server Name Indication）机制的核心配置之一。作为客户端，你设置这个属性后，握手时会把目标域名告诉服务器，让服务器返回对应域名的证书——现在大多数多域名HTTPS服务器都靠SNI来区分不同站点，标准SSLSocket/SSLEngine完全支持这个功能，不用自定义实现。

• SNIMatchers：和serverNames对应，这是服务器端的配置。服务器可以通过它设置规则，匹配客户端发送的SNI信息，返回对应的证书。比如你的服务器托管了a.com和b.com两个域名，就可以用SNIMatchers来匹配不同的server name，返回各自的证书，标准SSLServerSocket/SSLEngine原生支持这个场景。

• useCipherSuitesOrder：这个属性控制加密套件的协商顺序。如果设为true，握手时会优先使用客户端发送的加密套件顺序；设为false则用服务器端的顺序。标准JSSE实现会遵守这个配置，比如服务器端想强制使用更安全的加密套件顺序，就可以把这个设为false，优先用自己的列表。

简单来说，这些属性都是为了满足更复杂、更安全的SSL/TLS场景需求而设计的，标准实现已经完全支持它们，不是只有自定义SSL实现才会用到。

内容的提问来源于stack exchange，提问作者alamar