启用Java以允许过期证书

是否有使Java能够允许过期证书的命令行标志？

目前我收到以下异常，因为证书已过期。

Caused by: java.security.cert.CertificateExpiredException: NotAfter: {PAST DATETIME}
at sun.security.x509.CertificateValidity.valid(CertificateValidity.java:274)
at sun.security.x509.X509CertImpl.checkValidity(X509CertImpl.java:629)
at sun.security.x509.X509CertImpl.checkValidity(X509CertImpl.java:602)
at org.apache.ws.security.validate.SignatureTrustValidator.validateCertificates(SignatureTrustValidator.java:103)

我尝试了以下命令行标志，它不会忽略证书过期检查

-Dcom.sun.net.ssl.checkRevocation=false

我们的应用程序在路径/myapplication下的Tomcat中运行。因此，我创建了另一个应用程序/ignorecertificate，并将其部署在同一个Tomcat的Webapp文件夹中。根据此question中接受的答案，我在启动/ignoreexpired应用程序时运行以下代码。

// Create a trust manager that does not validate certificate chains
TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {
        public java.security.cert.X509Certificate[] getAcceptedIssuers() {
            return null;
        }
        public void checkClientTrusted(
            java.security.cert.X509Certificate[] certs, String authType) {
        }
        public void checkServerTrusted(
            java.security.cert.X509Certificate[] certs, String authType) {
        }
    }
};

// Install the all-trusting trust manager
try {
    SSLContext sc = SSLContext.getInstance("SSL");
    sc.init(null, trustAllCerts, new java.security.SecureRandom());
    HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());
} catch (Exception e) {
    e.printStackTrace();
}

因为两个应用程序都部署在同一个Tomcat中，所以我预计/myapplication会忽略证书过期检查/异常(因为这两个应用程序共享相同的Java实例)。但它仍然不起作用。我在另一个应用程序(/ignoreexpired)中运行此忽略代码是因为我不想在当前应用程序(/myapplication)中进行任何更改。

---

解决方案

-Dcom.sun.net.ssl.checkRevocation=false

此选项(带有一些附加配置)允许证书颁发者在线检查证书的吊销状态。不是您要找的。

由于两个应用程序都部署在同一Tomcat中，我预计/myapp会忽略证书过期检查/异常

应用程序在不同的JVM上下文中运行。/ignoreexpired应用程序的TrustManager中的更改不会影响另一个应用程序。

您可以将过期的证书包含在JVM使用的信任存储中。我认为TrustoreManager不会检查信任存储中明确包含的证书的过期时间。使用KeyTool或图形用户界面KeyStore explorer创建JK，插入证书(最终证书，而不是根证书)，并通过

在Tomcat中全局使用它

-Djavax.net.ssl.trustStore=/path/to/truststore
-Djavax.net.ssl.trustStorePassword=truststorepassword

您还可以在jre/lib/security/cacerts

更新默认JVM信任存储