Java证书安装及多个Java应用间的根证书交叉信任

在一套Java产品环境中，常常会存在不同的Java应用，相互之间会通过HttpClient模拟HTTP访问对方，这时就涉及到浏览器所不会用到的特殊的过程：根证书的交叉信任。最后面会讲为什么浏览器和Java应用服务器的通信不需要交叉导入根证书（公钥）。

制作密钥库文件

假设有2个Java应用, app1和app2，用户访问的地址为https://app1.xwiz.cn 和 https://app2.xwiz.cn。首先分别为这两个主机应用创建密钥库JKS和证书请求CSR

keytool -genkey -alias app01 -keyalg RSA -keysize 2048 -keystore /u01/app1_xwiz_cn_keystore.jks -dname "CN=app1.xwiz.cn,OU=cn, O=xwiz, L=Suzhou, ST=Jiangsu, C=CN"

这个过程中，必须提供密钥库JKS文件的密码和私钥密码。

发送证书请求

keytool -certreq -alias app01 -file /u01/app1_xwiz_cn.csr -keystore /u01/app1_xwiz_cn_keystore.jks

发送请求给CA，并下载证书文件。

导入证书文件

CA机构办法的证书文件格式不尽相同，具体需要查询CA的帮助说明。

以PFX格式为例，假设CA发来的是PKCS#12格式PFX文件。将该证书文件导入到前面创建CSR文件的keystore文件中。