Weblogic(10.3) 中使用 2 路 SSL 的 Web 服务客户端 (JAX-WS) 无法完成握手

Question

一周以来，我们一直在寻找问题的解决方案，在查看了许多类似的帖子并阅读了所有可用的文档之后，我们还没有找到解决方案。

我要解释一下我目前的情况，希望有人能帮助我们解决问题。

我们在 JAX-WS 中开发了一个 Web 服务客户端，它与另一个平台中的服务器端 Web 服务进行通信。通信是 2 路 SSL，我们有服务器端的 CA，可以信任他，我们的私人证书可以在服务器端识别。

我们的 Web 服务客户端部署在 Weblogic 10.3 中，当它要调用服务器端 Web 服务时，我们动态加载只加载一个证书的信任库和密钥库，因为每次我们去使用不同的证书，所以我们不能只使用静态密钥库。

问题是当我们建立连接、协商握手时，因为 Weblogic 忽略了我们在调用之前加载的信任库和密钥库，只在 Weblogic 的密钥库中查找受信任的证书和私钥...

如果我们将受信任的证书放入Weblogic 的truststore 并重新开始通信。我们开始握手，我们信任服务器端（因为现在 Weblogic 在其密钥库中找到 CA），但是当我们的 Web 服务客户端必须发送证书以被服务器端信任时，“证书链”是空的并且我们得到一个“BAD_CERTIFICATE”。

我们已经尝试使用 Apache CXF 和 JAX-WS，问题是一样的，使用系统属性和库设置密钥库......所以我们不知道为什么我们的 Web 服务客户端无法发送证书。由于某种原因，Weblogic 似乎没有为它们提供服务，也许是 Weblogic 配置，但我们不知道。

如果有人知道我们能做什么，请告诉我们。

提前致谢。

Answer 1

逐步说明。

请参阅WebLogic Server 的 SSL 配置、为客户端应用程序配置双向 SSL 和配置双向 SSL。

keytool -genkey -alias server-alias -keyalg RSA -keypass changeit_0 -storepass changeit_1 -keystore server_keystore.jks -validity 1825
keytool -export -alias server-alias -storepass changeit_1 -file server.cer -keystore server_keystore.jks

keytool -genkey -alias client-alias -keyalg RSA -keypass changeit_2 -storepass changeit_3 -keystore client_keystore.jks -validity 1825
keytool -export -alias client-alias -storepass changeit_3 -file client.cer -keystore client_keystore.jks
#WLHOME\server\lib\cacerts
keytool -import -v -trustcacerts -alias client-alias -file client.cer -keystore cacerts -keypass changeit_2 -storepass changeit


Server->Keystores
Keystores: Custom Identity and Custom Trust
Custom Identity Keystore: server_keystore.jks
Custom Identity Keystore Type: JKS
Custom Identity Keystore Passphrase: changeit_1
Custom Trust Keystore: <WLHOME>\server\lib\cacerts
Custom Trust Keystore Type: JKS
Custom Trust Keystore Passphrase: changeit

Server->General
SSL Listen Port Enabled: true

Server->SSL
Private Key Alias: server-alias
Private Key Passphrase: changeit_0
Hostname Verification: None
Use Server Certs: true
Two Way Client Cert Behavior: Client Certs Requested and Enforced
SSLRejection Logging Enabled: true

1) 服务头。

@WebService
@Policy(uri = "policy:Wssp1.2-2007-Https-ClientCertReq.xml")

2) 客户端处理程序解析器。

package org.ru5.test;

import java.util.*;
import javax.xml.namespace.QName;
import javax.xml.ws.*;

public class MustUnderstandHeadersHandler implements HandlerResolver {
    @Override
    public List<Handler> getHandlerChain(PortInfo portInfo) {
        final List<Handler> handlerList = new ArrayList<Handler>(1);
        handlerList.add(new MustUnderstandHeadersSOAPHandler());
        return handlerList;
    }

    private class MustUnderstandHeadersSOAPHandler implements SOAPHandler<SOAPMessageContext> {
        private static final String LOCAL_PART = "Security";
        private static final String PREFIX = "wsse";
        private static final String URI =
                "http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd";

        @Override
        public Set<QName> getHeaders() {
            final QName securityHeader = new QName(URI, LOCAL_PART, PREFIX);
            final Set<QName> headers = new HashSet<QName>();
            headers.add(securityHeader);
            return headers;
        }

        @Override
        public boolean handleMessage(SOAPMessageContext context) {
            return true;
        }

        @Override
        public boolean handleFault(SOAPMessageContext context) {
            return true;
        }

        @Override
        public void close(javax.xml.ws.handler.MessageContext context) {
        }
    }
}

Answer 2

我在使用 SSL 和 JAX-WS 时遇到了很多问题，直到我更改了 Weblogic 中的设置：使用 JSSE。 根据 weblogic 的版本（10.3.x，x 正在改变一切）这可能会也可能不会。 它适用于 10.3.3 和 10.3.5，它们都是 Weblogic 11g。 可以使用控制台（安全、高级）或命令行 -Dweblogic.security.SSL.enableJSSE=true

完成此更改

原因是在以前的 Oracle SSL 实现中（如果不使用 JSSE）根据算法和密钥大小，一些证书不被接受。另外，此实现使用不同的设置，不会将 JSSE 设置用于 javax.net.ssl.keyStore 之类的设置...

我现在正在使用这个 JSSE + -Djavax.net.debug=ssl:verbose 并且一切都很清楚。