为什么可以在不提供密码的情况下指向使用自定义密码的信任库？

Question

我有一个非常简单的场景：public class Main {    public static void main(String[] args) {        System.setProperty("javax.net.debug", "ssl");         System.setProperty("javax.net.ssl.trustStore", "H:/data/serverkeystore.jks");        System.setProperty("javax.net.ssl.trustStorePassword", "somestuff");        try {            ServerSocketFactory ssf = (SSLServerSocketFactory) SSLServerSocketFactory.getDefault();            SSLServerSocket serverSocket = (SSLServerSocket) ssf.createServerSocket(1337);    ... code goes on here ...我是否评论该行并不重要System.setProperty("javax.net.ssl.trustStorePassword", "somestuff");出或者如果我使用它。在这个问题的答案中，很好地描述了密码的用途（即使那里缺少源信息），并且如果不给出密码，则无法验证 TrustStore 的完整性。因此，在我的示例代码中，如果取消注释该行，Java 将使用 TrustStore 而不检查其完整性。通过我自己的测试，我可以确定如果我输入错误的密码并使用代码（如上所示），则会出现错误消息（这是期望的结果）。我只是感到惊讶的是，可以省略密码，然后 Java 显然可以与未经检查的 TrustStore 一起使用。任何人都可以根据我的问题解释 TrustStore 的初始化例程吗？正如问题中已经提到的，我使用自己的 TrustStore 密码，该密码与标准密码“changeit”不同。

Answer 1

它甚至取决于 SPI (JCE) 实现，实际上您不需要任何密码即可列出 JKS 存储。

证书不是保密的，但您不希望任何人篡改系统应信任的证书列表（例如提供恶意/虚假根 CA）。

应该有一种方法来强制信任库的信任（应该验证密码）。如果密码错误的话会失败吗？

是的，它会失败，如果您不提供密码，则无法更新信任库

事实上，这是预期的行为。对于 JKS 密钥库，您可以列出没有任何密码的条目和证书，但无法验证完整性。无论如何，您应该在您的应用程序中提供密码，以确保没有人使用您的信任库。