本文深入探讨了java `cacerts` 信任库的密码使用机制。核心在于，`cacerts` 密码主要用于修改文件内容（如添加或删除证书），而非java运行时默认访问信任库进行证书验证。文章详细阐述了java如何通过系统属性配置密码进行完整性校验或指定自定义信任库，并解释了其默认的信任库查找顺序，同时强调了在定制环境中更改密码可能带来的潜在影响。
理解 cacerts 信任库及其密码用途
在Java环境中，cacerts 文件（注意是带's'的cacerts，而非cacert）是一个重要的信任库，它包含了受信任的根证书颁发机构（CA）证书。这些证书用于验证服务器的身份，确保TLS/SSL连接的安全性。然而，关于其密码的使用，常常存在一些误解。
密码的核心用途cacerts 文件的密码主要用于保护其内容的完整性和机密性。具体来说，密码仅在以下场景中需要：
- 修改文件内容： 当您需要向 cacerts 文件中添加、删除或修改任何证书时，例如使用 keytool 工具，必须提供密码才能进行操作。
- 完整性验证（可选）： 尽管Java运行时默认不要求密码来访问 cacerts 进行证书验证，但如果您显式提供了密码，Java会使用它来验证文件的完整性，确保其未被篡改。
Java运行时的默认行为 默认情况下，Java虚拟机（JVM）在执行证书链验证时，会直接使用 cacerts 文件，而无需提供密码。即使JDK附带的 cacerts 文件默认受密码 changeit 保护，Java运行时也不会默认假定或使用此密码进行访问。这意味着，即使您更改了 cacerts 文件的密码，只要不修改其内容，依赖它的应用程序通常不会受到影响。
自定义 cacerts 行为与密码配置
Java提供了灵活的机制来定制信任库的行为，包括如何处理密码以及使用哪个信任库。
1. 更改 cacerts 文件密码 您可以使用 keytool 工具来更改 cacerts 文件的密码。例如：
keytool -storepasswd -keystore $JAVA_HOME/lib/security/cacerts
在执行此命令时，您需要首先输入旧密码（默认为 changeit），然后输入并确认新密码。
立即学习“Java免费学习笔记（深入）”；
2. 告知Java使用密码进行完整性校验 如果您希望Java运行时在加载 cacerts 文件时使用密码进行完整性检查，可以通过设置Java系统属性 javax.net.ssl.trustStorePassword 来实现：
// 在代码中设置
System.setProperty("javax.net.ssl.trustStorePassword", "your_new_password");
// 或者在JVM启动时设置
java -Djavax.net.ssl.trustStorePassword=your_new_password YourApplication重要提示： 只有当您确实需要这种额外的完整性检查时才设置此属性。否则，Java会以无密码方式加载信任库。
3. 使用自定义信任库 为了更高的灵活性或安全性，您可以完全替换默认的 cacerts 文件，使用一个自定义的信任库。这可以通过设置 javax.net.ssl.trustStore 系统属性来实现：
// 在代码中设置
System.setProperty("javax.net.ssl.trustStore", "/path/to/your/custom_truststore.jks");
System.setProperty("javax.net.ssl.trustStorePassword", "your_custom_password"); // 如果自定义信任库有密码
// 或者在JVM启动时设置
java -Djavax.net.ssl.trustStore=/path/to/your/custom_truststore.jks -Djavax.net.ssl.trustStorePassword=your_custom_password YourApplication这将指示Java使用您指定的JKS文件作为信任库，而不是默认的 cacerts。
Java信任库查找顺序
当 TrustManagerFactory 需要查找信任材料时，它会遵循特定的优先级顺序：
javax.net.ssl.trustStore 系统属性： 如果定义了 javax.net.ssl.trustStore 系统属性，Java会尝试使用该属性指定的文件作为信任库。 如果同时定义了 javax.net.ssl.trustStorePassword，则会使用其值来检查信任库数据的完整性。 如果 javax.net.ssl.trustStore 定义但指定文件不存在，则会创建一个空的信任库。
-
默认位置查找： 如果未指定 javax.net.ssl.trustStore 系统属性，Java会按以下顺序查找信任库文件：
- java-home/lib/security/jssecacerts：这是一个JSSE特定的信任库，优先级高于 cacerts。
- java-home/lib/security/cacerts：如果 jssecacerts 不存在，则使用此文件。
- 如果上述两个文件都不存在，并且TLS密码套件是匿名的（不执行任何认证），则不需要信任库。
这个查找顺序意味着您可以为JSSE提供一个独立的、特定于安全组件的信任根证书集 (jssecacerts)，而无需修改用于代码签名等其他目的的 cacerts 文件。
注意事项与最佳实践
- 供应商设备环境： 如果您在供应商提供的设备上工作，需要特别注意。供应商可能已经定制了Java环境，甚至在代码中硬编码了对 cacerts 密码为 changeit 的假设。在更改密码之前，务必与供应商确认或进行充分测试，以避免潜在的功能中断。
- 安全性： 更改默认的 changeit 密码是提高安全性的良好实践，尤其是在生产环境中。
- 文档参考： Java安全套接字扩展（JSSE）参考指南是理解这些机制的权威来源，建议查阅最新版本以获取详细信息。
总结
cacerts 文件的密码主要用于修改其内容。Java运行时默认不要求密码来访问 cacerts 进行证书验证。通过设置 javax.net.ssl.trustStore 和 javax.net.ssl.trustStorePassword 系统属性，您可以灵活地配置Java使用自定义信任库或在加载信任库时进行密码完整性校验。在任何定制或生产环境中，理解这些机制并谨慎操作至关重要。
