Spring实现HTTPS双向认证-向日葵屋

目录

前言

一、单向认证和双向认证

二、创建keyStore和trustStore

三、服务端配置

四、客户端配置

总结

参考链接

前言

本篇博客讲的主要是双向认证，通过一些简单案例来展示双向认证的配置过程。有关单向认证和一些https配置，可以看看我的这篇博客，只有了解清楚单向认证之后，那么双向认证理解更加简单，因为双向认证基于单向认证配置，所以建议在做https双向认证之前，先把https单向认证搞清楚：

Spring实现HTTPS方式访问服务(单向认证)_明天再去学习的博客-CSDN博客

一、单向认证和双向认证

1、单向认证

单向认证十分简单，就是在服务端配置证书，客户端在向服务端发送请求时，服务端会发送一份自己的证书，由客户端进行验证，只要客户端通过验证，那么就能建立https链接。

2、双向认证

双向认证相比于单向认证多了一个步骤，那就是客户端发送请求时校验服务端的证书的同时，客户端也需要发送一份自己的证书给服务端进行校验，只有双方的证书在对方那里校验通过之后，才能建立起https链接。

二、创建keyStore和trustStore

1、keyStore与trustStore的作用

keyStore：

keyStore是一个可以存储密钥、密钥对或证书的存储库。密钥：只有一个钥，一般是对称加密时使用；密钥对：包含公钥和私钥，一般是非对称加密时使用。
keyStore文件的类型可以是JSK、PKCS12、JCEKS。JSK（Java Key Store）可以存储密钥对和证书；PKCS12、JCEKS都可以存储密钥、密钥对、证书。
在创建keyStore文件时，可以为keyStore设置密码。
密钥、密钥对、证书在keyStore统称为key，每一个key通过alias（别名）区分。key也可以设置密码（具体体现在keytool创建keyStore和trustStore时），keyStore可以存储多对key。
通过keytool成功往一个keyStore文件添加密钥对后，可以从该keyStore中获取到私钥、证书以及公钥（公钥主要以证书的形式存放）。

trustStore：

trustStore中保存的是一些可信任的证书
trustStore文件的类型可以是JSK、PKCS12、JCEKS。JSK（Java Key Store）可以存储密钥对和证书；PKCS12、JCEKS都可以存储密钥、密钥对、证书。

2、创建服务端keyStore和客户端trustStore（以下指令均在控制台执行）

注意：由于只是本地简单配置双向认证，涉及到的证书将由工具keytool生成，真正生产环境下的证书，将有认证过的CA机构去生成。

创建服务端keyStore

keytool -genkey -alias serverkey -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore serverkeystore.p12 -storepass 123456 -ext san=ip:127.0.0.1,dns:localhost

导出服务端证书

keytool -exportcert -keystore serverkeystore.p12 -alias serverkey -storepass 123456 -rfc -file server-certificate.pem

将服务端证书添加到客户端trustStore中

keytool -import -trustcacerts -file server-certificate.pem -keypass 123456 -storepass 123456 -keystore clienttruststore.jks

3、创建客户端keyStore和服务端trustStore

创建客户端keyStore

keytool -genkey -alias client -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore clientKeystore.p12 -storepass 123456 -ext san=ip:127.0.0.1

导出客户端证书

keytool -exportcert -keystore clientKeystore.p12 -alias client -storepass 123456 -rfc -file client-certificate.pem

将客户端证书添加到服务端trustStore中

keytool -import -trustcacerts -file client-certificate.pem -keypass 123456 -storepass 123456 -keystore serverTruststore.jks

4、生成结果

在后续实践中，我们需要用到的是 serverKeyStore、serverTrustStore、clientKeyStore、clientTrustStore

三、服务端配置

1、将serverKeyStore、serverTrustStore存放在resource目录下

2、application.yml配置如下

server:
  port: 7050
  ssl:
    key-store: classpath:serverKeyStore.p12
    key-store-password: 123456
    key-store-type: PKCS12
    key-alias: serverKey
    client-auth: need
    trust-store: classpath:serverTrustStore.jks
    trust-store-password: 123456
    trust-store-type: JKS

key-store：用于指定你的keyStrore文件
key-store-type：指定你的文件的类型，在上面说过，keyStore的类型可以是JKS、PKCS12、JCEKS
key-store-password：就是你在通过keytool创建keyStore时指定的密码
key-alias: 指定使用哪一个key
client-auth：开启客户端验证，即需要验证客户端证书，服务端开启双向认证的开关
trust-store：用于指定你的trustStrore（信任库）文件，客户端证书校验将在此处进行
trust-store-type：指定你的文件的类型，在上面说过，trustStore的类型可以是JKS、PKCS12、JCEKS
trust-store-password：就是你在通过keytool创建trustStore时指定的密码

至此，服务端https双向认证配置到此处结束，接下来是客户端的配置

四、客户端配置

1、将clientKeyStore、clientTrustStore存放在resource目录下：

2、导入以下依赖：

<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient</artifactId>
    <version>4.5.6</version>
</dependency>

3、进行RestTemplate配置：

@Slf4j
@Configuration
public class RestTemplateConfig {
    @Bean
    public RestTemplate restTemplate(ClientHttpRequestFactory httpComponentsClientHttpRequestFactory) {
        RestTemplate restTemplate = new RestTemplate(httpComponentsClientHttpRequestFactory);
        restTemplate.getMessageConverters().set(1, new StringHttpMessageConverter(StandardCharsets.UTF_8));
        return restTemplate;
    }
    @Bean("httpComponentsClientHttpRequestFactory")
    public ClientHttpRequestFactory httpComponentsClientHttpRequestFactory() throws IOException, UnrecoverableKeyException, CertificateException, NoSuchAlgorithmException, KeyStoreException, KeyManagementException {
        final String allPassword = "123456";
        TrustStrategy acceptingTrustStrategy = (X509Certificate[] chain, String authType) -> true;
        SSLContext sslContext = SSLContextBuilder
                .create()
                .loadKeyMaterial(new ClassPathResource("clientKeystore.p12").getURL(),
                        allPassword.toCharArray(), allPassword.toCharArray())
                .loadTrustMaterial(new ClassPathResource("clientTruststore.jks").getURL(), allPassword.toCharArray())
                .loadTrustMaterial(null, acceptingTrustStrategy)
                .build();
        HttpClient client = HttpClients.custom()
                .setSSLContext(sslContext)
                .build();
        HttpComponentsClientHttpRequestFactory requestFactory = new HttpComponentsClientHttpRequestFactory(client);
        // INSTANCE 忽略域名检查，证书中的域名与请求的域名不匹配时，验证通过， 不建议开启该功能，因为存在安全问题
       /*SSLConnectionSocketFactory sslConnectionSocketFactory = new SSLConnectionSocketFactory(sslContext, NoopHostnameVerifier.INSTANCE);
        CloseableHttpClient httpclient = HttpClients
                .custom()
                .setSSLSocketFactory(sslConnectionSocketFactory)
                .setSSLHostnameVerifier(new NoopHostnameVerifier())
                .build();
        requestFactory.setHttpClient(httpclient);*/
        return requestFactory;
    }
}