使用keytool导入证书时,为什么要使用trustcacerts选项

Question

keytool -import -trustcacerts

我对keytool的这个trustcacerts选项很困惑

当我用Google搜索时,我发现了这些观点

1.根据情况,您可能不需要-trustcacerts选项.如果你愿意,可以试试没有它的操作.

-trustcacerts参数告诉keytool您要将其作为可信证书导入.

使用cacerts文件从已签署正在导入的证书的证书autorities中获取受信任的证书.

最后我发现,这个trustcacerts是可选的,但我也有一个以下的查询

一般来说,网站的任何开发人员/首席执行官都希望客户认可他们的网站,那么为什么我们需要使用keytool命令来明确地指定它？

谢谢

Answer 1

导入除自签名根证书以外的证书(例如,中间证书)时,首先keytool尝试构建并验证正确的证书路径.

如果您使用trustcacerts参数,那么为了构建路径,keytool不仅会考虑信任存储中已包含的证书,还会考虑cacerts密钥存储区中包含的证书(此文件位于您的lib/security文件夹中) JRE安装).证书cacerts是一种默认信任列表,官方信任的根证书(类似于您的浏览器默认信任的列表).

该选项不是必需的,因为您始终可以强制导入证书.导入自签名根证书时也没有意义,因为在这种情况下不能构建证书路径 - 您要么信任root,要么不信任.

但是,如果您知道导入的证书应该由cacerts中包含的证书之一颁发,那么它可能是一个很好的功能 - keytool如果它仍然无法构建并验证整个证书路径,则会发出警告 - 这很可能是一个警告您尝试导入的证书有些不对劲.