使用BouncyCastle离线验证X509证书时接受过期CRL的需求

你的场景非常典型——业务上需要保留证书的吊销状态（即使CRL过期），同时允许无法获取最新CRL时的空CRL情况，但BouncyCastle默认的PKIX验证逻辑严格遵循RFC规范，导致了不符合预期的结果：过期CRL被忽略、找不到CRL时抛出异常。

核心解决方案：调整PKIX参数的CRL验证规则 #

BouncyCastle的PKIXBuilderParameters（继承自PKIXParameters）提供了两个关键配置，正好匹配你的需求：

1. 允许使用过期CRL：setIgnoreExpiredCRLs(true)
   默认逻辑会检查CRL的nextUpdate字段，过期的CRL直接被丢弃，导致已吊销的证书被误判为有效。开启这个配置后，只要CRL包含目标证书的吊销记录，即使CRL本身过期，验证逻辑也会认可该吊销状态——符合你“吊销状态永久保留”的要求。

2. 允许缺少CRL的情况：setIgnoreMissingCRLs(true)
   默认逻辑要求必须找到对应证书颁发者的CRL，否则抛出你遇到的No CRLs found for issuer异常。开启这个配置后，当无法获取CRL时，会默认证书未被吊销，完美适配你“无法获取更新CRL时接受空CRL”的场景。

修改后的代码示例 #

直接调整你的参数配置，不需要再手动关闭吊销检查或自行验证：

final X509CertSelector endConstraints = new X509CertSelector();
endConstraints.setSerialNumber(signer.getSID().getSerialNumber());

final PKIXBuilderParameters buildParams = new PKIXBuilderParameters(trustAnchors, endConstraints);
buildParams.addCertStore(certificates);

// 启用关键配置，替代手动关闭吊销检查
buildParams.setIgnoreExpiredCRLs(true);
buildParams.setIgnoreMissingCRLs(true);

final CertPathBuilder builder = CertPathBuilder.getInstance(SignedFileVerifier.CERTIFICATE_PATH_ALGORITHM, SignedFileVerifier.PROVIDER);
final CertPathBuilderResult result = builder.build(buildParams);

// 现在BouncyCastle会自动处理CRL验证，无需手动检查
return (X509Certificate) result.getCertPath().getCertificates().get(0);

为什么这能解决你的问题？ #

• 针对2019年验证场景：2017年生成的CRL虽然过期，但包含证书的吊销记录，setIgnoreExpiredCRLs(true)会让验证逻辑认可这条吊销信息，不会误判证书有效。
• 针对空CRL场景：setIgnoreMissingCRLs(true)会抑制“找不到CRL”的异常，默认证书未被吊销，符合你的业务逻辑。

注意事项 #

• 确保你的BouncyCastle版本在1.60及以上（这两个方法在较新版本中才被稳定支持）。
• 即使允许过期CRL，也要确保CRL来自可信的颁发者（已在trustAnchors中配置），避免伪造CRL带来的安全风险。

内容的提问来源于stack exchange，提问作者Markus