编译器JIT编译语言运行时高性能计算内存管理【免费下载链接】graalGraalVM compiles applications into native executables that start instantly, scale fast, and use fewer compute resources 项目地址https://gitcode.com/gh_mirrors/gr/graal点击查看免费下载Native Image 在生成原生可执行文件时默认会将构建宿主环境的默认 TrustStore信任库直接嵌入镜像。本文以 GraalVM 官方文档 CertificateManagement.md 为核心骨架结合 substratevm 源码中的TrustStoreManagerFeature与安全服务注册实现系统讲解构建期Build-time与运行期Runtime两种证书配置方式、与 OpenJDK 行为的差异、不可信证书blacklisted.certs的处理机制以及完整的配置参数与故障排查方法。读完本文你将掌握在 Native Image 中正确管理 SSL 默认信任库的完整方案包括如何替换默认根证书、如何在运行时动态切换信任库、以及何时会触发UnsupportedFeatureError。默认行为构建期快照与镜像内嵌native-image构建器image builder在镜像构建阶段会捕获宿主环境的默认 TrustStore并将其**嵌入embed**原生可执行文件。因此默认情况下可执行文件自带构建期捕获的信任库目标运行环境无需再提供任何证书文件这正是 Native Image 与 OpenJDK 的关键区别——OpenJDK 会在运行时从 JDK 安装目录加载cacerts而原生可执行文件并非运行在完整 JDK 之上不能依赖随 JDK 分发的证书文件。该默认信任库默认由 JDK 提供的根证书文件生成可以通过设置构建期系统属性javax.net.ssl.trustStore更换为其他证书文件如何设置系统属性见 Use System Properties。从源码看这一冻结机制由 Target_sun_security_ssl_TrustStoreManager.java 中的TrustStoreManagerFeature实现// TrustStoreManagerFeature.afterRegistration() Class? trustStoreManagerClass access.findClassByName(TRUST_STORE_MANAGER_CLASS_NAME); SetX509Certificate trustedCerts (SetX509Certificate) ReflectionUtil.lookupMethod(trustStoreManagerClass, getTrustedCerts).invoke(null); KeyStore trustedKeyStore (KeyStore) ReflectionUtil.lookupMethod(trustStoreManagerClass, getTrustedKeyStore).invoke(null); ImageSingletons.add(TrustStoreManagerSupport.class, new TrustStoreManagerSupport(trustedCerts, trustedKeyStore));即通过反射在构建期调用 JDK 内部类sun.security.ssl.TrustStoreManager的getTrustedCerts()/getTrustedKeyStore()把结果存入镜像堆image heap。同时运行期的getTrustedCerts()与getTrustedKeyStore()被Substitute替换当没有运行时信任库描述符时直接返回构建期冻结的值只有当设置了运行时属性时才动态加载新的信任库。构建期选项如何指定信任库文件在镜像构建过程中通过构建期系统属性指定证书文件native-image -Djavax.net.ssl.trustStore/path/to/my-cacerts \ -Djavax.net.ssl.trustStorePasswordchangeit \ -o myapp \ MyApplication注意-D系统属性必须在native-image命令上传递而不是写进应用代码里否则构建器看不到该属性详见 Use System Properties。由于构建期证书文件的内容会被嵌入可执行文件因此该证书文件在目标运行环境不需要存在。这意味着你可以在一台机器上构建、在其他机器上分发运行无需随包携带cacerts文件——这正是 Native Image 内嵌信任库方案的核心优势。从源码结构看构建期信任库的加载依赖安全提供者的正确注册默认情况下所有安全提供者在构建期完成注册与初始化见 SecurityServicesFeature.java并通过-H:TraceSecurityServices等选项可以输出安全服务自动注册的跟踪信息便于排查哪些提供者被裁剪。运行期选项动态切换信任库证书文件也可以在运行期动态更换方式与普通 Java 应用一致——设置javax.net.ssl.trustStore*系统属性族。四个相关系统属性系统属性作用未设置时的默认值javax.net.ssl.trustStore信任库文件路径或NONE表示非文件型信任库无构建期快照javax.net.ssl.trustStoreType信任库类型如JKS、PKCS12KeyStore.getDefaultType()javax.net.ssl.trustStoreProvider信任库提供者类名空字符串默认提供者javax.net.ssl.trustStorePassword信任库口令空字符串关键约束四个属性必须一起设置只要以上任意一个属性在镜像运行期间被设置就必须同时设置javax.net.ssl.trustStore并且它必须指向一个可访问的证书文件。否则将抛出UnsupportedFeatureError。这一约束在源码 Target_sun_security_ssl_TrustStoreManager.java 的TrustStoreManagerSupport.getRuntimeTrustStoreDescriptor()中有完整实现// 读取四个系统属性 String storePropName System.getProperty(javax.net.ssl.trustStore); String storePropType System.getProperty(javax.net.ssl.trustStoreType); String storePropProvider System.getProperty(javax.net.ssl.trustStoreProvider); String storePropPassword System.getProperty(javax.net.ssl.trustStorePassword); // 全部未设置 → 返回 null运行期回退到构建期快照 if (storePropName null storePropType null storePropProvider null storePropPassword null) { return null; } // 设置了其他属性但 trustStore 缺失 → UnsupportedFeatureError if (storePropName null) { throw VMError.unsupportedFeature( System property javax.net.ssl.trustStore must be also set if any of javax.net.ssl.trustStore(Type|Provider|Password) are set. ...); }其中错误消息的完整文本为System property javax.net.ssl.trustStore must be also set if any of javax.net.ssl.trustStore(Type|Provider|Password) are set.——这条错误信息本身就是排障的第一线索。文件可访问性校验即使设置了javax.net.ssl.trustStore若它指向的文件不存在或不可读同样会抛出UnsupportedFeatureError错误消息形如Inaccessible trust store: path。源码中的判定逻辑如下File f new File(storePropName); if (f.isFile() f.canRead()) { temporaryName storePropName; temporaryFile f; temporaryTime f.lastModified(); } else { return null; // 文件不可访问 → 抛出 UnsupportedFeatureError }两种特殊情况值得注意属性值NONE被特殊处理表示不使用文件型信任库例如基于 PKCS#11 的硬件令牌此时跳过文件存在性检查运行期新证书加载后仍会与构建期加载的blacklisted.certs不可信证书列表进行比对见下文不可信证书章节。运行期设置示例# 启动时通过 -D 设置与普通 Java 一致 ./myapp -Djavax.net.ssl.trustStore/opt/certs/company-cacerts \ -Djavax.net.ssl.trustStoreTypeJKS \ -Djavax.net.ssl.trustStorePasswordchangeit// 应用代码内动态设置必须在 SSL 连接建立之前 System.setProperty(javax.net.ssl.trustStore, /opt/certs/company-cacerts); System.setProperty(javax.net.ssl.trustStoreType, PKCS12); System.setProperty(javax.net.ssl.trustStorePassword, changeit);运行期允许反复修改这些属性默认 TrustStore 会随属性变化动态更新——因为TrustStoreDescriptor是根据当前系统属性实时构造的源码中每次调用getRuntimeTrustStoreDescriptor()都会重新读取系统属性并提供信任库缓存机制TrustAnchorManager缓存最近一次检索的 KeyStore 与可信证书集合。测试代码 JmxTest.java 是这一机制的活用例它在测试运行期动态创建服务器信任库文件并通过System.setProperty(javax.net.ssl.trustStore, ...)与System.setProperty(javax.net.ssl.trustStorePassword, ...)配置运行时信任库验证了 Native Image 运行期信任库切换的可行性。与 OpenJDK 的行为差异下表总结了 Native Image 与 OpenJDK 在信任库解析上的差异场景OpenJDKNative Imagejavax.net.ssl.trustStore未设置回退到 JDK 安装目录随附的cacerts文件使用构建期嵌入镜像的默认 TrustStorejavax.net.ssl.trustStore无效/不可访问回退到随附的cacerts抛出UnsupportedFeatureError运行环境证书文件JDK 自带目标环境无 JDK无法作为回退核心原因在文档与源码中均已明确OpenJDK 回退依赖的证书文件cacerts不会出现在原生可执行文件旁边因此 Native Image 无法沿用该回退策略。这也解释了为什么 Native Image 采取构建期冻结 运行期显式指定的双轨方案而不是简单复刻 OpenJDK 的查找顺序。不可信证书Untrusted Certificates构建期间native-image构建器会从java.home/lib/security/blacklisted.certs加载一份不可信证书列表该文件在构建期和运行期都参与证书校验构建期加载并冻结该列表用于构建期证书处理运行期即使通过javax.net.ssl.trustStore*系统属性指定了全新的证书文件新增的证书依然会与构建期加载的blacklisted.certs进行比对——被列入黑名单的证书在任何信任库下都不会被信任。源码 Target_sun_security_ssl_TrustStoreManager.java 对此有明确注释/* * The class initializer of UntrustedCertificates loads the file * lib/security/blacklisted.certs, so this class must be initialized at image build time. * ... * Note when a runtime certificate file is specified, we still honor/use the build time * lib/security/blacklisted.certs file */ RuntimeClassInitializationSupport rci ImageSingletons.lookup(RuntimeClassInitializationSupport.class); rci.initializeAtBuildTime(sun.security.util.UntrustedCertificates, Required for TrustStoreManager);即sun.security.util.UntrustedCertificates被强制在构建期初始化此类加载blacklisted.certs保证黑名单列表被嵌入镜像并在运行期继续生效。另外XMLDSigRI相关类也在构建期初始化——因为它们用于从证书文件生成X509Certificate时的 XML 签名校验属于信任库加载链路的一部分。黑名单对运行期证书的影响这意味着运行期信任库切换不是绕过安全策略的途径即便你指定了一个包含已撤销/已知不安全证书的信任库构建期黑名单仍然会拦截这些证书。这为运行期动态信任库方案提供了一层额外的安全兜底。运行期读取属性所需的类初始化支持Native Image 之所以能感知运行期属性变化得益于 SecurityServicesFeature.java 中的类初始化配置。两个关键类被标记为运行期初始化/* * When SSLContextImpl$DefaultManagersHolder sets-up the TrustManager in its initializer it * gets the value of the -Djavax.net.ssl.trustStore and -Djavax.net.ssl.trustStorePassword * properties from the build machine. Running its initialization at run time is required to * use the run time provided values. */ rci.initializeAtRunTime(type(access, sun.security.ssl.SSLContextImpl$DefaultManagersHolder), for reading properties at run time); rci.initializeAtRunTime(type(access, sun.security.ssl.SSLLogger), for reading properties at run time);如果这些类在构建期初始化它们会在构建机上读取javax.net.ssl.trustStore*属性并固化运行期设置将完全失效。将其推迟到运行期初始化正是运行期信任库机制能够工作的前提。SSLLogger同理它依赖javax.net.debug属性必须在运行期初始化才能正确配置 SSL 调试日志。回退语义一切未设置时的最终行为最后当上述javax.net.ssl.trustStore*四个系统属性在运行期全部未设置时默认 TrustStore 就是构建期捕获并嵌入的那个即前文构建期选项章节描述的行为。源码层面表现为getRuntimeTrustStoreDescriptor()返回null进而getTrustedCerts()与getTrustedKeyStore()直接返回构建期冻结的buildtimeTrustedCerts/buildtimeTrustedKeyStoreSubstitute private static SetX509Certificate getTrustedCerts() throws Exception { Target_sun_security_ssl_TrustStoreManager_TrustStoreDescriptor runtimeDescriptor TrustStoreManagerSupport.getRuntimeTrustStoreDescriptor(); if (runtimeDescriptor null) { return ImageSingletons.lookup(TrustStoreManagerSupport.class).buildtimeTrustedCerts; } return tam.getTrustedCerts(runtimeDescriptor); }常见问题速查现象原因解决方式UnsupportedFeatureError: System property javax.net.ssl.trustStore must be also set ...设置了trustStoreType/trustStoreProvider/trustStorePassword之一却未设置trustStore补齐javax.net.ssl.trustStore属性UnsupportedFeatureError: Inaccessible trust store: ...trustStore指向的文件不存在或不可读检查文件路径、权限确认路径在目标环境可达运行期设置的信任库不生效属性在 SSL 上下文建立后才设置或SSLContextImpl$DefaultManagersHolder未走运行期初始化在首次 SSL 连接前设置属性确认使用的是标准 GraalVM 运行时指定了新信任库但证书仍被拒绝证书命中构建期加载的blacklisted.certs黑名单更换为未列入黑名单的证书进一步阅读Native Image Build ConfigurationNative Image 构建配置的完整参考Use System Properties如何在 Native Image 中传递与使用系统属性TrustStoreManager 运行期替换实现信任库构建期冻结与运行期描述符解析的源码SecurityServicesFeature安全提供者注册与运行期类初始化配置的源码JmxTest.java运行期动态设置信任库属性的测试示例赞分享编译器JIT编译语言运行时高性能计算内存管理【免费下载链接】graalGraalVM compiles applications into native executables that start instantly, scale fast, and use fewer compute resources 项目地址https://gitcode.com/gh_mirrors/gr/graal点击查看免费下载相关推荐Spring Boot 如何构建并运行 GraalVM Native Image 应用Spring Boot 如何构建并运行 GraalVM Native Image 应用 如果你有一个 Spring Boot Web 应用希望把它部署成 G后端Web框架微服务mistral.rs 环境变量完全指南构建期与运行期配置、性能调优与故障排查mistral.rs 环境变量完全指南构建期与运行期配置、性能调优与故障排查 导读 本文是 mistral.rs 环境变量Environment Varia推理引擎模型推理服务AI Agent多模态JumpServer证书管理SSL/TLS证书配置与自动续期JumpServer证书管理SSL/TLS证书配置与自动续期 引言为什么证书管理如此重要 在当今数字化时代SSL/TLS证书已成为保障Web应用安全通信后端认证鉴权运维网络安全上一篇Easy Dataset主题定制教程打造个性化大模型训练工作流下一篇Japanese-BGE-Reranker-V2-M3-V1安全部署与最佳实践生产环境注意事项指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考