如果证书已过期，java的TrustManager实现是否会被忽略？
我尝试了以下方法：
- 使用
keytool和参数-startdate "1970/01/01 00:00:00"我创建了一个带有过期证书的P12密钥库 . - 我出口证书：
Keystore type: PKCS12
Keystore provider: SunJSSE
Your keystore contains 1 entry
Alias name: fake
Creation date: 5 ╠ά± 2011
Entry type: PrivateKeyEntry
Certificate chain length: 1
Certificate[1]:
Owner: CN=Malicious, OU=Mal, O=Mal, L=Fake, ST=GR, C=GR
Issuer: CN=Malicious, OU=Mal, O=Mal, L=Fake, ST=GR, C=GR
Serial number: -1c20
Valid from: Thu Jan 01 00:00:00 EET 1970 until: Fri Jan 02 00:00:00 EET 1970
Certificate fingerprints:
MD5: A9:BE:3A:3D:45:24:1B:4F:3C:9B:2E:02:E3:57:86:11
SHA1: 21:9D:E1:04:09:CF:10:58:73:C4:62:3C:46:4C:76:A3:81:56:88:4D
Signature algorithm name: SHA1withRSA
Version: 3
*******************************************
我使用此证书作为Tomcat的服务器证书 .
然后使用我连接到tomcat的apache httpClient，但首先我将过期的证书添加到客户端的信任库（使用TrustManager）
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
并加载过期的证书） .
我期待连接失败 .
相反，连接成功 .
使用 System.setProperty("javax.net.debug", "ssl");
我知道了：
***
Found trusted certificate:
[
[
Version: V3
Subject: CN=Malicious, OU=Mal, O=Mal, L=Fake, ST=GR, C=GR
Signature Algorithm: SHA1withRSA, OID = 1.2.840.113549.1.1.5
Key: Sun RSA public key, 1024 bits
modulus: 10350555024148635338735220482157687267055139906998169922552357357346372886164908067983097037540922519808845662295379579697361784480052371935565129553860304254832565723373586277732296157572040989796830623403187557540749531267846797324326299709274902019299
public exponent: 65537
Validity: [From: Thu Jan 01 00:00:00 EET 1970,
To: Fri Jan 02 00:00:00 EET 1970]
Issuer: CN=Malicious, OU=Mal, O=Mal, L=Fake, ST=GR, C=GR
SerialNumber: [ -1c20]
]
我看到在TLS握手中，过期的证书由Tomcat连接器发送 .
但是客户端（即TrustManager）不拒绝连接 .
这是默认行为吗？
我是否想以某种方式配置信任管理员来检查到期？
UPDATE:
我发现使用的实际TrustManager是X509TrustManagerImpl . 这里X509TrustManagerImpl说这个类有一个最小的逻辑 . 可能我使用错误的TrustManager？
UPDATE2: 来自javadoc X509TrustManager，目前尚不清楚它是否检查证书过期
void checkServerTrusted(X509Certificate[] chain,String authType)
throws CertificateException
给定对等方提供的部分或完整证书链，构建到受信任根的证书路径，如果可以验证则返回，并且基于身份验证类型对服务器SSL身份验证进行信任 . 身份验证类型是密钥交换算法部分密码套件表示为字符串，例如“RSA”，“DHE_DSS” . 注意：对于某些可导出的密码套件，密钥交换算法在握手期间的运行时确定 . 例如，对于TLS_RSA_EXPORT_WITH_RC4_40_MD5，当短暂的RSA密钥用于密钥交换时，authType应该是RSA_EXPORT，而当使用来自服务器证书的密钥时，authType应该是RSA . 检查区分大小写 .
谢谢
3 回答
我没有尝试你的例子，但我现在经常需要重新生成我的服务器证书（对于我们的开发服务器），因为他们的证书有效时间很短 .
在我们的例子中，客户端在信任库中没有自己的服务器证书，只有我们的CA证书（有效期更长），当客户端尝试连接到服务器时，双方都获得SSLException（可能被包装）在你的情况下的另一个例外） .
我想信任经理会假设“如果你给我过期的证书来信任，我就会这样做” . 请尝试我们的方法（它还可以节省您每次服务器证书到期时更新客户端） .
在覆盖
checkServerTrusted时，我自己也遇到了类似的问题 .事实证明，如果你需要检查过期，你可以调用X509Certificate.checkValidity()，它将抛出CertificateExpiredException或CertificateNotYetValidException . 这两个都扩展了CertificateException，因此它们可以被
checkServerTrusted高兴地抛出 .要解决您的问题，您可以实现一个新的X509TrustManager，它在其构造函数中创建原始实例，将所有方法实现为对原始实例的调用，并为
certs[]中的每个证书添加checkValidity调用checkServerTrusted.我相信IBM的JSSE检查到期，而Sun则没有 .