springboot基于keytool实现https的双向认证

2023-12-27 03:30
文章标签 java 实现 springboot 认证 https spring 双向 keytool

本文主要是介绍springboot基于keytool实现https的双向认证，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

一、环境准备

服务器信息如下：

操作系统说明
server-one服务器1
server-two服务器2

二、keytool命令解释

-genkey 表示要创建一个新的密钥。 
-alias 表示 keystore 的别名。 
-keyalg 表示使用的加密算法是 RSA ，一种非对称加密算法。 
-keysize 表示密钥的长度。 
-keystore 表示生成的密钥存放位置。 
-validity 表示密钥的有效时间，单位为天。

-keypass 私钥访问密码：123456

-storepass keystone文件访问密码：123456

  • 查看证书的具体信息
keytool -list -keystore /home/keytool/trustKeys.p12 -storetype pkcs12 -v
  • 删除导入的信任证书
keytool -delete -alias server-one -keystore /home/keytool/trustKeys.p12

  说明：keytool -delete -alias 删除证书的别名 -keystore 信任库 

三、服务器server-one生成密钥

  • 服务器1生成TrustStore（信任库.P12）
keytool -genkey -alias trustkeys -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore /home/keytool/trustKeys.p12 -validity 36500

  • 服务器1生成客户端密钥（.P12）
keytool -genkey -alias server-one -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore /home/keytool/server-one.p12 -validity 36500
  • 服务器1导出客户端公钥（.cer）
keytool -keystore /home/keytool/server-one.p12 -export -alias server-one -file /home/keytool/server-one-publicKey.cer
  • 添加客户端（服务器2）公钥到服务器1的信任库（双向认证需要操作此步骤）
keytool -import -alias server-two -v -file /home/keytool/server-two-publicKey.cer -keystore /home/keytool/trustKeys.p12

  • 从服务器1生成客户端密钥（.P12）文件中导出私钥文件（.key）
openssl pkcs12 -in /home/keytool/server-one.p12  -nodes -nocerts -out /home/keytool/server-one.key
  • 从服务器1导出的客户端公钥（.cer）文件中导出公钥文件（.pem）
openssl x509 -inform der -in /home/keytool/server-one-publicKey.cer -out /home/keytool/server-one.pem

四、服务器server-two生成密钥（参考服务器1）

  • 服务器2生成TrustStore（信任库.P12）
keytool -genkey -alias trustkeys -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore /home/keytool/trustKeys.p12 -validity 36500

  • 服务器2生成客户端密钥（.P12）
keytool -genkey -alias server-two -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore /home/keytool/server-two.p12 -validity 36500
  • 服务器2导出客户端公钥（.cer）
keytool -keystore /home/keytool/server-two.p12 -export -alias server-one -file /home/keytool/server-two-publicKey.cer
  • 添加客户端（服务器1）的公钥到服务器2的信任库（双向认证需要操作此步骤）
keytool -import -alias server-one -v -file /home/keytool/server-one-publicKey.cer -keystore /home/keytool/trustKeys.p12
  • 从服务器2生成客户端密钥（.P12）文件中导出私钥文件（.key）
openssl pkcs12 -in /home/keytool/server-two.p12  -nodes -nocerts -out /home/keytool/server-two.key
  • 从服务器2导出的客户端公钥（.cer）文件中导出公钥文件（.pem）
openssl x509 -inform der -in /home/keytool/server-two-publicKey.cer -out /home/keytool/server-two.pem

 五、配置SpringBoot支持https

1、服务器1配置文件application.properties

#开启ssl
server.ssl.enabled=true
#配置的值 need双向验证 none不验证客户端 want会验证，但不强制验证，即验证失败也可以成功建立连接
server.ssl.client-auth=need
#协议
#server.ssl.protocol=TLS
#服务通信证书
server.ssl.key-store=classpath:ssl/server-one.p12
#密钥密码
#server.ssl.key-password=123456
#证书密码
server.ssl.key-store-password=123456
#证书格式
server.ssl.key-store-type=PKCS12
#证书别名
server.ssl.keyAlias=server-one#信任库文件
server.ssl.trust-store=classpath:ice-ca/trustKeys.p12
#信任库密码
server.ssl.trust-store-password=123456
#信任库类型
server.ssl.trust-store-type=PKCS12

2、服务器2配置文件application.properties

#开启ssl
server.ssl.enabled=true
#配置的值 need双向验证 none不验证客户端 want会验证，但不强制验证，即验证失败也可以成功建立连接
server.ssl.client-auth=need
#协议
#server.ssl.protocol=TLS
#服务通信证书
server.ssl.key-store=classpath:ssl/server-two.p12
#密钥密码
#server.ssl.key-password=123456
#证书密码
server.ssl.key-store-password=123456
#证书格式
server.ssl.key-store-type=PKCS12
#证书别名
server.ssl.keyAlias=server-two#信任库文件
server.ssl.trust-store=classpath:ice-ca/trustKeys.p12
#信任库密码
server.ssl.trust-store-password=123456
#信任库类型
server.ssl.trust-store-type=PKCS12

3、拷贝相应密钥到resources目录下

4、pom.xml配置文件添加配置项如下

<resources><resource><directory>src/main/java</directory><includes><include>**/*.xml</include><include>ssl/server-one.p12</include><include>ice-ca/trustKeys.p12</include></includes></resource><resource><directory>src/main/resources</directory></resource>
</resources>

六、配置RestTemplate工具类

1、pom添加httpclient支持

        <dependency><groupId>org.apache.httpcomponents</groupId><artifactId>httpclient</artifactId><version>4.5.13</version></dependency>

2、设置RestTemplate支持https请求

import lombok.extern.slf4j.Slf4j;
import org.apache.http.conn.ssl.NoopHostnameVerifier;
import org.apache.http.conn.ssl.SSLConnectionSocketFactory;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.client.HttpComponentsClientHttpRequestFactory;
import org.springframework.web.client.RestTemplate;import javax.net.ssl.*;
import java.io.FileNotFoundException;
import java.io.IOException;
import java.io.InputStream;
import java.security.*;
import java.security.cert.CertificateException;
import java.time.Duration;/*** HTTPS通信双向认证工具类** @author xiwh*/
@Configuration
@Slf4j
public class RestTemplateConfig {@Value("${server.ssl.key-store-type}")String clientKeyType;@Value("${server.ssl.key-store}")String clientPath;@Value("${server.ssl.key-store-password}")String clientPass;@Value("${server.ssl.trust-store-type}")String trustKeyType;@Value("${server.ssl.trust-store}")String trustPath;@Value("${server.ssl.trust-store-password}")String trustPass;@Beanpublic RestTemplate restTemplate() {RestTemplate restTemplate = null;try {HttpComponentsClientHttpRequestFactory requestFactory = new HttpComponentsClientHttpRequestFactory();// 客户端证书类型KeyStore clientStore = KeyStore.getInstance(clientKeyType);// 加载客户端证书，即自己的私钥InputStream keyStream = getClass().getClassLoader().getResourceAsStream(clientPath);clientStore.load(keyStream, clientPass.toCharArray());// 创建密钥管理工厂实例KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());// 初始化客户端密钥库keyManagerFactory.init(clientStore, clientPass.toCharArray());KeyManager[] keyManagers = keyManagerFactory.getKeyManagers();// 创建信任库管理工厂实例TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());KeyStore trustStore = KeyStore.getInstance(trustKeyType);InputStream trustStream = getClass().getClassLoader().getResourceAsStream(trustPath);// 加载信任证书trustStore.load(trustStream, trustPass.toCharArray());// 初始化信任库trustManagerFactory.init(trustStore);//双向校验 校验服务端证书是否在信任库TrustManager[] trustManagers = trustManagerFactory.getTrustManagers();// 建立TLS连接SSLContext sslContext = SSLContext.getInstance("TLS");// 初始化SSLContextsslContext.init(keyManagers, trustManagers, new SecureRandom());// INSTANCE 忽略域名检查SSLConnectionSocketFactory sslConnectionSocketFactory = new SSLConnectionSocketFactory(sslContext, NoopHostnameVerifier.INSTANCE);// 创建httpClient对象CloseableHttpClient httpclient = HttpClients.custom().setSSLSocketFactory(sslConnectionSocketFactory).setSSLHostnameVerifier(new NoopHostnameVerifier()).build();requestFactory.setHttpClient(httpclient);requestFactory.setConnectTimeout((int) Duration.ofSeconds(15).toMillis());restTemplate = new RestTemplate(requestFactory);} catch (KeyManagementException | FileNotFoundException | NoSuchAlgorithmException e) {e.printStackTrace();} catch (KeyStoreException | CertificateException | UnrecoverableKeyException | IOException e) {e.printStackTrace();}return restTemplate;}}

3、测试代码

  • 服务器1（server-one）请求接口代码
    @Testpublic void testHttps() {String url = "https://127.0.0.1:8077/httpsTest";ResponseEntity<String> forEntity = restTemplate.getForEntity(url, String.class);System.out.println(forEntity.toString());}
  • 服务器2（server-two）controller代码
    /*** https测试方法** @return*/@ApiOperation("https测试方法")@GetMapping("/httpsTest")public Result httpsTest() {log.info("服务器server-two响应成功！");return Result.SUCCESS();}
  • 服务器2（server-two）执行结果
<200,{"code":1,"success":true,"msg":"操作成功","data":null}>

七、Nginx配置ssl证书

server  {#监听前端访问端口listen       9028 ssl;#服务器地址server_name  47.104.239.238;charset utf-8;client_max_body_size 20M;#双向认证 开启校验客户端#ssl_verify_client on;#server公钥 或 阿里云证书 一般是crt文件ssl_certificate         /home/keytool/server.pem;#server私钥 或 阿里云证书 一般是key文件ssl_certificate_key     /home/keytool/server.key;#双向认证 客户端公钥#ssl_client_certificate  /home/keytool/server.pem;#支持ssl协议版本ssl_protocols TLSv1 TLSv1.1 TLSv1.2;#配置服务器可使用的加密算法ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;# 指定服务器密码算法在优先于客户端密码算法时，使用 SSLv3 和 TLS 协议ssl_prefer_server_ciphers on;ssl_session_timeout 5m;#前端请求后端接口location  /prod-api/ {proxy_pass https://47.104.239.238:8077/;proxy_set_header Host $proxy_host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Nginx-Proxt true;proxy_set_header HTTP_X_FORWORDED_FOR $remote_addr;proxy_ssl_certificate     /home/keytool/server.pem;proxy_ssl_certificate_key /home/keytool/server.key;proxy_ssl_protocols       TLSv1 TLSv1.1 TLSv1.2 SSLv2 SSLv3 ;proxy_ssl_ciphers         ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;proxy_ssl_session_reuse  off;proxy_ssl_server_name on;proxy_redirect off;}#前端包目录location / {root   /mnt/project/sinotmemc/dist;try_files $uri $uri/ /index.html;index  index.html index.htm;}error_page   500 502 503 504  /50x.html;location = /50x.html {root   html;}}

参考：

spring boot 使用RestTemplate通过证书认证访问https实现SSL请求_踩到最基点的博客-CSDN博客

转载请注明出处：BestEternity亲笔。

这篇关于springboot基于keytool实现https的双向认证的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/541755。

相关文章

Java通过驱动包(jar包)连接MySQL数据库的步骤总结及验证方式

Java通过驱动包(jar包)连接MySQL数据库的步骤总结及验证方式

《Java通过驱动包(jar包)连接MySQL数据库的步骤总结及验证方式》本文详细介绍如何使用Java通过JDBC连接MySQL数据库,包括下载驱动、配置Eclipse环境、检测数据库连接等关键步骤,... 目录一、下载驱动包二、放jar包三、检测数据库连接JavaJava 如何使用 JDBC 连接 mys
阅读更多...
SpringBoot线程池配置使用示例详解

SpringBoot线程池配置使用示例详解

《SpringBoot线程池配置使用示例详解》SpringBoot集成@Async注解,支持线程池参数配置（核心数、队列容量、拒绝策略等）及生命周期管理,结合监控与任务装饰器,提升异步处理效率与系统... 目录一、核心特性二、添加依赖三、参数详解四、配置线程池五、应用实践代码说明拒绝策略（Rejected
阅读更多...
Qt使用QSqlDatabase连接MySQL实现增删改查功能

Qt使用QSqlDatabase连接MySQL实现增删改查功能

《Qt使用QSqlDatabase连接MySQL实现增删改查功能》这篇文章主要为大家详细介绍了Qt如何使用QSqlDatabase连接MySQL实现增删改查功能,文中的示例代码讲解详细,感兴趣的小伙伴... 目录一、创建数据表二、连接mysql数据库三、封装成一个完整的轻量级 ORM 风格类3.1 表结构
阅读更多...
基于Python实现一个图片拆分工具

基于Python实现一个图片拆分工具

《基于Python实现一个图片拆分工具》这篇文章主要为大家详细介绍了如何基于Python实现一个图片拆分工具,可以根据需要的行数和列数进行拆分,感兴趣的小伙伴可以跟随小编一起学习一下... 简单介绍先自己选择输入的图片，默认是输出到项目文件夹中，可以自己选择其他的文件夹，选择需要拆分的行数和列数，可以通过
阅读更多...
一文详解SpringBoot中控制器的动态注册与卸载

一文详解SpringBoot中控制器的动态注册与卸载

《一文详解SpringBoot中控制器的动态注册与卸载》在项目开发中,通过动态注册和卸载控制器功能,可以根据业务场景和项目需要实现功能的动态增加、删除,提高系统的灵活性和可扩展性,下面我们就来看看Sp... 目录项目结构1. 创建 Spring Boot 启动类2. 创建一个测试控制器3. 创建动态控制器注
阅读更多...
Python中将嵌套列表扁平化的多种实现方法

Python中将嵌套列表扁平化的多种实现方法

《Python中将嵌套列表扁平化的多种实现方法》在Python编程中,我们常常会遇到需要将嵌套列表（即列表中包含列表）转换为一个一维的扁平列表的需求,本文将给大家介绍了多种实现这一目标的方法,需要的朋... 目录python中将嵌套列表扁平化的方法技术背景实现步骤1. 使用嵌套列表推导式2. 使用itert
阅读更多...
Java操作Word文档的全面指南

Java操作Word文档的全面指南

《Java操作Word文档的全面指南》在Java开发中,操作Word文档是常见的业务需求,广泛应用于合同生成、报表输出、通知发布、法律文书生成、病历模板填写等场景,本文将全面介绍Java操作Word文... 目录简介段落页头与页脚页码表格图片批注文本框目录图表简介Word编程最重要的类是org.apach
阅读更多...
Python使用pip工具实现包自动更新的多种方法

Python使用pip工具实现包自动更新的多种方法

《Python使用pip工具实现包自动更新的多种方法》本文深入探讨了使用Python的pip工具实现包自动更新的各种方法和技术,我们将从基础概念开始,逐步介绍手动更新方法、自动化脚本编写、结合CI/C... 目录1. 背景介绍1.1 目的和范围1.2 预期读者1.3 文档结构概述1.4 术语表1.4.1 核
阅读更多...
在Linux中改变echo输出颜色的实现方法

在Linux中改变echo输出颜色的实现方法

《在Linux中改变echo输出颜色的实现方法》在Linux系统的命令行环境下,为了使输出信息更加清晰、突出,便于用户快速识别和区分不同类型的信息,常常需要改变echo命令的输出颜色,所以本文给大家介... 目python录在linux中改变echo输出颜色的方法技术背景实现步骤使用ANSI转义码使用tpu
阅读更多...
Spring Boot中WebSocket常用使用方法详解

Spring Boot中WebSocket常用使用方法详解

《SpringBoot中WebSocket常用使用方法详解》本文从WebSocket的基础概念出发,详细介绍了SpringBoot集成WebSocket的步骤,并重点讲解了常用的使用方法,包括简单消... 目录一、WebSocket基础概念1.1 什么是WebSocket1.2 WebSocket与HTTP
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2