使用 ssl 證書與 feign

Question

我正在嘗試訪問由 https 保護的應用程序，我有一個 p12 證書（已經將 as.cer 導入到我的 jdk 的 cacerts 文件夾中）。

我已經嘗試過本教程但沒有成功： https://dzone.com/articles/ssl-based-feignclient-example-in-java-microcervice

而且我正在使用這個解決方案的一部分： How to use p12 client certificate with spring feign client

調試 ssl 連接我收到以下錯誤： javax.net.ssl|ERROR|25|http-nio-auto-1-exec-1|2021-01-26 16:56:34.789 BRT|TransportContext.java:317|Fatal (HANDSHAKE_FAILURE): Received fatal alert: handshake_failure

我當前的偽裝配置 class

    @Bean
    @ConditionalOnMissingBean
    public Feign.Builder feignBuilder(Retryer retryer) {
        return Feign.builder().retryer(retryer);
    }
    
    @Bean
    public Feign.Builder feignBuilder() {
        return Feign.builder()
            .retryer(Retryer.NEVER_RETRY)
            .client(new Client.Default(getSSLSocketFactory(), null));
    }
    
    private SSLSocketFactory getSSLSocketFactory() {
        String keyStorePassword = "myPassword";
        char[] allPassword = keyStorePassword.toCharArray();
        SSLContext sslContext = null;
        try {
            sslContext = SSLContextBuilder
                .create()
                .setKeyStoreType("PKCS12")
                .loadKeyMaterial(ResourceUtils.getFile("keypath"), allPassword, allPassword)
                .build();
        } catch (Exception e) {  }
        return sslContext.getSocketFactory();
    }

在代碼的調試部分，我可以看到我的證書在那里，但我的 java 仍然出現握手錯誤。 我是 ssl 概念的新手，可能做錯了一些配置。

最后一點，當在 feign config class 中並通過系統設置信任庫和密碼時

         System.setProperty("javax.net.ssl.trustStorePassword", "pass");
        System.setProperty("javax.net.ssl.trustStore", "pathtocerth.p12");

錯誤更改為：

javax.net.ssl|ERROR|25|http-nio-auto-1-exec-1|2021-01-26 16:48:58.551 BRT|TransportContext.java:317|Fatal (CERTIFICATE_UNKNOWN): PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

Answer 1

自從我發現問題后，我正在回答自己。 如果有人面臨同樣的問題，解決方案非常簡單。

在應用程序屬性中，您需要添加以下屬性：

feign.httpclient.disableSslValidation=true
feign.httpclient.enabled=false
feign.okhttp.enabled=true

從

<dependency>
    <groupId>io.github.openfeign</groupId>
    <artifactId>feign-httpclient</artifactId>
    <version>9.4.0</version>
</dependency>

設置feign配置class

@Configuration
public class CustomFeignConfiguration {

    @Bean
    public void Config() {  
        System.setProperty("javax.net.ssl.keyStoreType", "PKCS12");    
        System.setProperty("javax.net.ssl.keyStore", "path to p12");  
        System.setProperty("javax.net.ssl.keyStorePassword", "key password"); 
    }

並在 feign 請求中使用 feign config

@FeignClient(name = "foo", url = "https://foo/foo",
configuration = CustomFeignConfiguration.class)
public interface IFeingRequest {

request here

}

使用此解決方案，我不需要轉換證書並將其存儲到 java 信任庫中。

Answer 2

您可以通過 Spring 中的應用程序屬性直接添加密鑰（以及可選的附加信任庫）。

server:
  ssl:
    #trust-store: path_to_your_truststore
    #trust-store-password: changeit
    #trust-store-type: JKS
    #trust-store-provider: SUN
    key-store: path_to_your_keystore
    key-store-password: changeit
    key-alias: 1
    key-store-type: PKCS12
    key-store-provider: SUN
    key-password: changeit
    protocol: TLS

要識別 key-alias、key-store-type 和 key-store-provider，可以使用以下命令：

keytool -list -keystore  path_to_keystore

但是如果你只是想關閉主機名驗證，那么你不需要上面。 您可以通過添加以下屬性為 feign httpclient 配置它：

feign.httpclient.disableSslValidation=true

和這個 maven 依賴：

<dependency>
    <groupId>io.github.openfeign</groupId>
    <artifactId>feign-httpclient</artifactId>
</dependency>

不需要okhttp。