我可以在运行我的小程序之前检查一个 Java 小程序证书是否受信任吗？

Question

我在网站上有一个签名的小程序。正因为如此，Java 安全对话框出现，用户需要先授予小程序权限，然后它才能工作。我想做的是这样的：

• 我希望网站解释 给用户的安全对话框 在它出现之前。该页面将 在 div 中显示一些解释文本， 几秒钟后，保安 将出现对话框。
• 如果用户在之前的会话中已经允许证书，它应该 只需运行小程序，无需任何额外 对话框。

问题在于，当小程序嵌入页面时，安全对话框就会出现。我可以延迟嵌入，但无法从小程序本身检查它的权限，因为它需要在加载之前完成。

也许我可以加载第二个不可见的普通小程序并检查权限。但是我该怎么做呢？是否有任何 Java 类可以检查证书是否已被客户端信任？

谢谢。

Answer 1

您可以通过编程方式检查 JAR 文件的证书和签名，就像 JVM 在加载小程序时所做的那样。这并不容易，但至少乍一看，你必须这样做：

1. 使用隐藏的小程序下载您的 JAR 并验证其证书，就像小程序查看器一样。您可以使用 java.security.cert 包手动执行此操作。弄清楚如何做到这一点的最佳方法是JarSigner source code，尤其是verifyJar()。比如：

   // download the JAR
   URL url = new URL("jar:http://mywebsite.com/myjar.jar!/");
   JarURLConnection jarConnection = (JarURLConnection)url.openConnection();
   // get the certificates and other security stuff
   CodeSigners[] codeSigners = jarConnection.getJarEntry().getCodeSigners();
   Certificate[] certificates = jarConnection.getJarEntry().getCertificates();
   // verify the signatures
   // don't know the code, but you can analyze JarSigner example at http://download.oracle.com/javase/tutorial/security/toolfilex/rstep2.html
   

2. 使用LiveConnect（可能是别的东西？）设置一个cookie，这样您就可以知道“用户是否已经在之前的会话中允许了证书”。

3. 启动您的小程序，可能取决于 (1) 存储在 (2) 中创建的 cookie 中的结果。

我没有考虑那么多，所以可能有更好的方法。祝你好运，回帖！