Java：验证jar是否签名

Question

我正在与 Jarsigner 合作。我想检查给定的 jar 是否已签名。如果用户上传 jar 文件，我想查看 jarfile 是否已签名。我尝试使用以下代码 (http://docs.oracle.com/javase/6/docs/technotes/guides/security/crypto/HowToImplAProvider.html#integritycheck)

    // Ensure the jar file is signed.
    Manifest man = jarFile.getManifest();
    if (man == null) {
        throw new SecurityException("The provider is not signed");
    } 

但即使我提供了一个未签名的 jar，man 对象也不为空，并且不会抛出此异常。如何检查给定的 jar 是否刚刚签名？

Answer 1

假设您只想知道一个 jar 是否已签名（不验证签名本身），这个 sn-p 应该可以工作：

  boolean isJarSigned(JarFile jarFile) {
    try {
      final Manifest man = jarFile.getManifest();
      if (man == null)
        return false;

      // getEntries will contain all signed files
      return !man.getEntries().isEmpty();
    } catch (Throwable t) {
      t.printStackTrace();

      return false;
    } finally {
      // Make sure the jarFile gets always closed
      try {
        if (jarFile != null)
          jarFile.close();
      } catch (IOException e) {
        e.printStackTrace();
      }
    }
  }

顺便说一句，我知道我的答案晚了 3 年，但我自己也在拼命地寻找它，所以我想我不妨发布我的解决方案。

Answer 2

您在引用的页面中途停了下来。你错过了the part where the signature is verified。