Java 中如何正确获取已签名 JAR 包的证书与签名者信息-java教程-PHP中文网

Java 中如何正确获取已签名 JAR 包的证书与签名者信息

当 Java 类来自已签名 JAR 时，getSigners() 或 getCodeSource().getSigners() 返回 null，通常是因为签名证书链不可信（如自签名证书未导入信任库），而非代码调用错误。本文详解原因、验证方法及完整修复步骤。

当 java 类来自已签名 jar 时，`getsigners()` 或 `getcodesource().getsigners()` 返回 `null`，通常是因为签名证书链不可信（如自签名证书未导入信任库），而非代码调用错误。本文详解原因、验证方法及完整修复步骤。

在 Java 应用中，通过 Class.getSigners() 或 ProtectionDomain.getCodeSource().getSigners() 获取数字签名信息，是实现运行时完整性校验、权限控制或插件可信加载的关键手段。然而，即使 JAR 文件经 jarsigner 明确签名并验证通过（jar verified.），这些 API 仍可能返回 null——根本原因在于：Java 运行时在加载类时，会对签名证书链执行严格的 PKIX 验证；若证书无法构建有效信任路径（例如自签名证书未被 JVM 信任库认可），则整个签名被视为“不可信”，进而拒绝暴露签名者信息。

你遇到的 jarsigner -verify 输出中关键提示印证了这一点：

Warning: This jar contains entries whose certificate chain is invalid.
Reason: PKIX path building failed: ... unable to find valid certification path to requested target
This jar contains entries whose signer certificate is self-signed.

这说明签名证书是自签名的，且未被当前 JVM 的 cacerts 信任库所信任。Java 安全模型的设计原则是：不可信的签名 = 无签名，因此 getSigners() 和 getCertificates() 均返回 null，这是安全行为，而非 Bug。

✅ 正确解决方案是将签名证书显式导入 JVM 的信任库（cacerts）。操作分三步：

导出签名证书
若你拥有原始 keystore（如 mykeystore.jks）及别名（如 myalias），执行：
```
keytool -exportcert -alias myalias -keystore mykeystore.jks -storepass changeit -file signer.cer
```
确认并定位 JVM cacerts 文件
默认路径为 $JAVA_HOME/lib/security/cacerts（JDK 9+ 已移至 lib/security/，不再有 jre/ 子目录）。验证其格式与内容：
```
keytool -list -v -keystore "$JAVA_HOME/lib/security/cacerts" -storepass changeit | head -20
```
若提示 Keystore was tampered with, or password was incorrect 或格式不支持，说明可能是非 JKS 格式（如 PKCS12），需转换：

Java Maven Code Review
审查Java Maven项目（ZIP压缩包或GitLab仓库URL），检查代码规范、命名、模块边界、可维护性问题以及重复代码。

下载
```
keytool -importkeystore \
  -srckeystore "$JAVA_HOME/lib/security/cacerts" \
  -destkeystore "$JAVA_HOME/lib/security/cacerts.jks" \
  -deststoretype jks \
  -srcstorepass changeit -deststorepass changeit
```
将证书导入信任库
使用标准 cacerts（或转换后的 cacerts.jks）：
```
keytool -importcert -alias mysigner -file signer.cer \
  -keystore "$JAVA_HOME/lib/security/cacerts" -storepass changeit -noprompt
```
⚠️ 注意：必须使用 changeit（默认密码）或你自定义的 cacerts 密码；-noprompt 避免交互确认；操作后需重启 JVM（包括 IDE、应用服务器等），使信任库变更生效。

✅ 验证修复效果：
重新运行 jarsigner -verify -verbose -certs your-app.jar，应不再出现证书链警告；随后在代码中调用：

Class> clazz = YourClass.class;
CodeSource cs = clazz.getProtectionDomain().getCodeSource();
if (cs != null) {
    Certificate[] certs = cs.getCertificates(); // 现在应返回非 null 数组
    CodeSigner[] signers = cs.getCodeSigners(); // 同样应返回有效签名者
    System.out.println("Found " + certs.length + " certificates");
}

? 补充说明：

Java 17 默认启用更强的 TLS/证书验证策略，对自签名、过期或弱算法（如 SHA-1）证书更敏感；若签名使用了已弃用算法（如 MD5withRSA），需改用 SHA256withRSA 重新签名。
class.getSigners() 实际等价于 class.getProtectionDomain().getCodeSource().getSigners()，二者均依赖签名在类加载阶段通过验证。
生产环境应避免自签名证书；推荐使用受信任 CA 签发的证书，或在私有环境中部署内部 CA 并统一分发根证书。

完成上述步骤后，签名信息即可被 Java 安全框架正确识别并供程序逻辑使用——这是保障代码来源可信、抵御恶意篡改的基础实践。