信任证书密钥库 URL 与客户端证书密钥库 URL

Question

“trustCertificateKeyStoreUrl”和“clientCertificateKeyStoreUrl”在MySQL Connector/J中有什么区别？我应该何时提供其中之一？

我有一个客户端应用程序，使用SLL连接到AWS RDS，我应该使用哪个？

- Michel Feinstein

Answer 1

trustCertificateKeyStoreUrl用于服务器身份验证，而clientCertificateKeyStoreUrl用于客户端身份验证。在SSL协商期间，服务器呈现其包含服务器公钥和由第三方证书颁发机构（CA）数字签名的校验和的证书。还有另一个连接属性verifyServerCertificate，用于配置客户端是否应该验证服务器证书。如果您想在SSL协商期间为您的应用程序验证服务器的证书，则应将verifyServerCertificate设置为true，并提供包含客户端信任的所有受信任CA的信任库路径到trustCertificateKeyStoreUrl中。如果服务器呈现的证书由客户端信任的受信任CA数字签名，则验证将成功，否则将失败。 clientCertificateKeyStoreUrl用于客户端身份验证。如果服务器端启用了客户端身份验证（您可以参考https://dev.mysql.com/doc/refman/8.0/en/create-user.html#create-user-tls文章了解如何启用客户端身份验证），则在SSL协商期间，服务器将请求客户端的证书。如果客户端证书由服务器信任的CA数字签名，则身份验证将成功。

简而言之，当客户端想要验证服务器证书时，应提供trustCertificateKeyStoreUrl；当服务器启用客户端身份验证并希望验证证书是否由受信任的CA签名时，应提供clientCertificateKeyStoreUrl。请保留HTML标签。

- kriti