Java客户端能否知晓服务器在协商阶段是否请求客户端证书？

好问题！在Java编写的客户端应用里，完全可以获知服务器在TLS协商阶段是否发起了客户端证书请求（不管服务器是配置了setWantClientAuth(true)还是setNeedClientAuth(true)），核心是借助TLS握手完成后的SSLSession对象来获取相关信息。

具体实现方法 #

当TLS握手成功完成后，你可以从已建立的SSLSocket（或SSLEngine）中拿到SSLSession实例，然后调用它的getRequestedCertificateTypes()方法：

• 如果服务器发起了客户端证书请求，这个方法会返回一个字符串数组，包含服务器支持的客户端证书类型（比如RSA、DSA等）；
• 如果服务器没有请求客户端证书，方法会返回null。

代码示例 #

import javax.net.ssl.SSLSocket;
import java.util.Arrays;

// 假设已经成功建立SSLSocket连接并完成TLS握手
SSLSocket sslSocket = ...;
SSLSession session = sslSocket.getSession();

String[] requestedCertTypes = session.getRequestedCertificateTypes();
if (requestedCertTypes != null && requestedCertTypes.length > 0) {
    System.out.println("服务器请求了客户端证书，支持的证书类型：" + Arrays.toString(requestedCertTypes));
} else {
    System.out.println("服务器未请求客户端证书");
}

注意事项 #

• 必须在TLS握手完成后调用这个方法，握手过程中会话信息还未完全初始化，无法获取准确结果；
• 这个方法无法区分服务器是用want（允许客户端不提供证书）还是need（强制要求客户端提供证书）模式，只能判断服务器是否发起了证书请求。如果要区分两种模式，客户端无法直接获知，只能通过握手是否失败来间接判断（比如setNeedClientAuth(true)时，客户端不提供证书会导致握手失败）。

内容的提问来源于stack exchange，提问作者Pierre-Luc