在 java 中生成带有额外字段的 PKCS10 证书请求

Question

我需要在 CSR 中添加额外的字段，例如 keyusage、regestrationID 等。我使用的是 java IBM-sdk60。我已经浏览了 x500 名称 API，但找不到任何解决方案。对 API 的帮助将不胜感激。 提前致谢

Answer 1

在 CSR (PKCS#10) 请求中包含附加信息的标准方法是添加 Attributes。根据 PKCS#10 标准：

包含一组属性的目的是双重的：提供 关于给定实体的其他信息，或“挑战密码” 该实体稍后可能会要求撤销证书；并 提供包含在 X.509 证书中的属性。一种 PKCS #9 中给出了非详尽的属性列表

一个属性是一个OID和一个其意义取决于OID的值

其实PKCS#9定义了3个属性：

• 挑战密码
• 扩展请求
• 扩展证书属性（已弃用）

你要找的是扩展请求：

extensionRequest 属性类型可用于携带信息 关于请求者希望包含在 证书。

此代码模板（未经测试）可能会给您一些关于如何包含此属性的提示

CertificateExtensions exts = /* build the extensions set you want to include */
/* Wrap the extensions set into a SET OF */
OutputStream out = new ByteArrayOutputStream();
exts.encode(out);
DerValue val = new DerValue(DerValue.tag_SetOf, out.toByteArray());
PKCSAttribute extReq = new PKCSAttribute(new ObjectIdentifier("1.2.840.113549.1.9.14"), val.toByteArray());
PKCSAttributes attrs = new PKCSAttributes(new PKCSAttribute[] { extReq });
CertificationRequestInfo cri = new CertificationRequestInfo(subject, key, attrs);
CertificationRequest csr = new CertificationRequest(cri);

请注意，除非 CA 明确宣布支持此 PKCS#10 属性，否则它将在证书生成期间被忽略。