【发布时间】：2019-09-03 00:39:52
【问题描述】：
我们需要在 Firefox 52.4.1（与 Java Applet 兼容的最新版本）和 Internet Explorer 11 上运行一个使用 Java 8 Applet（生病）的旧 Web 应用程序。
小程序基于 Java 8，由 Apache Tomcat 服务器分发。 它经过签名和混淆 (Proguard)。
用户通过智能卡的 SSL 相互身份验证连接到网站（客户端需要 PKCS11 模块才能从智能卡获取证书）。 SSL 相互认证也是通过 Java Applet 完成的。
所有证书均由添加在每个浏览器、Windows 和 Java 证书存储中的权威签名。
这里是 HTML 代码：
<object classid='clsid:8AD9C840-044E-11D1-B3E9-00805F499D93' id='AsapiObject'>
<param name='archive' value='../../../applet/myapplet.jar'/>
<param name='code' value='main.package.Main'/>
<param name='name' value='My Applet'/>
<param name='mayscript' value='true'/>
<comment>
<applet id='AsapiApplet'
name='My Applet'
archive='../../../applet/myapplet.jar'
code='main.package.Main'
MAYSCRIPT="MAYSCRIPT">
</applet>
</comment>
</object>
（遵循https://docs.oracle.com/javase/8/docs/technotes/guides/jweb/applet/using_tags.html#applet的建议）
它在 IE 11 上运行良好，而不是在 Mozilla Firefox 52.4.1 上。 两者的 JRE 相同。
在 Mozilla Firefox 52.4.1 上，我有一个 Java 异常：
java.lang.ClassNotFoundException: main.package.Main
at sun.plugin2.applet.Applet2ClassLoader.findClass(Unknown Source)
at sun.plugin2.applet.Plugin2ClassLoader.loadClass0(Unknown Source)
at sun.plugin2.applet.Plugin2ClassLoader.loadClass(Unknown Source)
at sun.plugin2.applet.Plugin2ClassLoader.loadClass(Unknown Source)
at java.lang.ClassLoader.loadClass(ClassLoader.java:357)
at sun.plugin2.applet.Plugin2ClassLoader.loadCode(Unknown Source)
at sun.plugin2.applet.Plugin2Manager.initAppletAdapter(Unknown Source)
at sun.plugin2.applet.Plugin2Manager$AppletExecutionRunnable.run(Unknown Source)
at java.lang.Thread.run(Thread.java:748)
在这个例外之前，我有一个handshake failure exception：
javax.net.ssl.SSLHandshakeException: Received fatal alert: handshake_failure
at sun.security.ssl.Alerts.getSSLException(Alerts.java:192)
at sun.security.ssl.Alerts.getSSLException(Alerts.java:154)
at sun.security.ssl.SSLSocketImpl.recvAlert(SSLSocketImpl.java:2023)
at sun.security.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:1125)
at sun.security.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1375)
at sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1403)
at sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1387)
at sun.net.www.protocol.https.HttpsClient.afterConnect(HttpsClient.java:559)
at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(AbstractDelegateHttpsURLConnection.java:185)
at sun.net.www.protocol.https.HttpsURLConnectionImpl.connect(HttpsURLConnectionImpl.java:153)
at sun.plugin.PluginURLJarFileCallBack.connect(Unknown Source)
at sun.plugin.PluginURLJarFileCallBack.retrieve(Unknown Source)
at sun.net.www.protocol.jar.URLJarFile.retrieve(URLJarFile.java:205)
at sun.net.www.protocol.jar.URLJarFile.getJarFile(URLJarFile.java:71)
at sun.net.www.protocol.jar.JarFileFactory.get(JarFileFactory.java:109)
at sun.net.www.protocol.jar.JarURLConnection.connect(JarURLConnection.java:122)
at sun.plugin.net.protocol.jar.CachedJarURLConnection.connect(Unknown Source)
at sun.plugin.net.protocol.jar.CachedJarURLConnection.getJarFileInternal(Unknown Source)
at sun.plugin.net.protocol.jar.CachedJarURLConnection.getJarFile(Unknown Source)
at com.sun.deploy.security.DeployURLClassPath$JarLoader.getJarFile(Unknown Source)
at com.sun.deploy.security.DeployURLClassPath$JarLoader.access$800(Unknown Source)
at com.sun.deploy.security.DeployURLClassPath$JarLoader$1.run(Unknown Source)
at java.security.AccessController.doPrivileged(Native Method)
at com.sun.deploy.security.DeployURLClassPath$JarLoader.ensureOpen(Unknown Source)
at com.sun.deploy.security.DeployURLClassPath$JarLoader.<init>(Unknown Source)
at com.sun.deploy.security.DeployURLClassPath$3.run(Unknown Source)
at java.security.AccessController.doPrivileged(Native Method)
at com.sun.deploy.security.DeployURLClassPath.getLoader(Unknown Source)
at com.sun.deploy.security.DeployURLClassPath.getLoader(Unknown Source)
at com.sun.deploy.security.DeployURLClassPath.getResource(Unknown Source)
at sun.plugin2.applet.Plugin2ClassLoader$2.run(Unknown Source)
at sun.plugin2.applet.Plugin2ClassLoader$2.run(Unknown Source)
at java.security.AccessController.doPrivileged(Native Method)
at sun.plugin2.applet.Plugin2ClassLoader.findClassHelper(Unknown Source)
at sun.plugin2.applet.Applet2ClassLoader.findClass(Unknown Source)
at sun.plugin2.applet.Plugin2ClassLoader.loadClass0(Unknown Source)
at sun.plugin2.applet.Plugin2ClassLoader.loadClass(Unknown Source)
at sun.plugin2.applet.Plugin2ClassLoader.loadClass(Unknown Source)
at java.lang.ClassLoader.loadClass(ClassLoader.java:357)
at sun.plugin2.applet.Plugin2ClassLoader.loadCode(Unknown Source)
at sun.plugin2.applet.Plugin2Manager.initAppletAdapter(Unknown Source)
at sun.plugin2.applet.Plugin2Manager$AppletExecutionRunnable.run(Unknown Source)
at java.lang.Thread.run(Thread.java:748)
我认为 Firefox 没有从智能卡正确导入客户端证书。
编辑：Java 控制台中还有另外两条有趣的行：
security: Accessing keys and certificate in Mozilla user profile: null
security: JSS is not configured
通过增加调试模式 (-Djavax.net.debug=all)，我看到了：
-
Internet Explorer：
*** ServerHelloDone [read] MD5 and SHA1 hashes: len = 4 0000: 0E 00 00 00 .... ssl: KeyMgr: getting aliases: [XXXXXXX (verified: OK), YYYYYYYYYYYYYY] ssl: Ignoring alias XXXXXXX (1): key algorithm does not match ssl: Ignoring alias XXXXXXX: key algorithm does not match ssl: Ignoring alias XXXXXXX (2): key algorithm does not match ssl: KeyMgr: no matching alias found ssl: Ignoring alias XXXXXXX (1): key algorithm does not match ssl: Ignoring alias XXXXXXX: key algorithm does not match ssl: Ignoring alias XXXXXXX (2): key algorithm does not match ssl: KeyMgr: no matching alias found *** Certificate chain chain [0] = [ ... -
Mozilla 火狐：
*** ServerHelloDone [read] MD5 and SHA1 hashes: len = 4 0000: 0E 00 00 00 .... Warning: no suitable certificate found - continuing without client authentication *** Certificate chain <Empty> ***
我尝试/检查了很多东西：
- 检查 IAS_PKCS11 模块是否正确安装在 Firefox 上：
- 试图禁用
plugins.click_to_play(https://support.mozilla.org/fr/questions/933135) - 检查参数顺序在
<applet>(ClassNotFoundException in Java Applet using <object> tag) - 清除缓存，添加 JRE 参数，重新安装 JRE ... (https://support.mozilla.org/fr/questions/945083)
- 启用
security.enterprise_roots.enabled(https://support.umbrella.com/hc/en-us/articles/115000669728-Configuring-Firefox-to-use-the-Windows-Certificate-Store) - 使用
<embed>或<object>代替<applet>。 - 在 Java 配置中的高级安全参数中尝试了很多组合
禁用了一些安全检查（CRL 等）。
编辑：根据JDK-6975851、JSS doc、NSS versions，我已经基于NSS 3.28.3和NSPR 4.13.1用VS2019 + Windows Kit 10构建了JSS_4_4_20170313工具和库，Java 8。我在 Mozilla Firefox 目录中安装了 DLL 文件（jss4.dll、libplc4.dll、libnspr4.dll、libplds4.dll），在 jre_path/lib/ext 目录中安装了 jss4.jar。经过所有这些努力都没有成功...... :(
我真的需要帮助。
有什么想法吗？ （我无法将小程序切换到另一个东西 - 我没有这个选择）
【问题讨论】：
-
“有什么想法吗？” 切换到另一件事。请参阅 Java Plugin support deprecated 和 Moving to a Plugin-Free Web。 “（我无法将小程序切换到另一个东西 - 我没有这个选择）” 我对你有感觉。特别是因为现在大多数（过去）帮助小程序的开发人员都懒得尝试了。
-
我认为这可能是最好的办法......在等待假设的解决方案时，我只在必须安装小程序的页面上禁用了相互身份验证。现在，它可以在 Firefox 上运行。我们将计划删除 Java 小程序（早就应该完成）。
-
赏金一切顺利。 “我们将计划删除 Java 小程序” 明智之举。即使小程序已修复，在出现进一步的维护问题之前还需要 6 个月到一年的时间，而且在一两年内，您将花费更多时间来修复小程序而不是开发替代方案。
标签： java ssl firefox applet pkcs#11