使用keytool创建和管理证书
在 Java 中也广泛使用证书，例如，使用 jarsigner 命令对 jar 包进行签名和认证。JDK 中创建和管理证书的工具是 keytool 。 keytool 是一个功能强大的安全工具，它不仅仅只是用来创建和管理证书，还可以用来创建和管理对称性加密算法需要用到的密钥，还可以用自己的证书给别人签发证书(类似 CA 的工作)，还可以导入别人发布的证书。 keytool 使用 keystore 存储密钥和证书，在一个 keystore 中可以存储多个条目，访问 keystore 和访问 keystore 中的条目均需要密码。
下面开始实战。要进行非对称性加密，我们首先要有属于自己的私钥/公钥对，这可以通过 keytool -genkeypairs -alias xxx 命令得到。创建密钥对的时候， keytool 会在 keystore 中生成一个新的条目， -alias xxx 选项就是对该条目进行命名。生成密钥对之后，私钥是以原始数据直接储存在 keystore 中的，而公钥是要发布出去的，所以它被封装在一个 X.509 格式的自签名证书中。换句话说，创建密钥对的时候，同时就创建了一个自签名的证书。
先将自己假想为一个认证机构，或者说一个只对我自己签发证书的私有认证机构，我称之为 MyCA，先为 MyCA 生成一个自签名的根证书，使用的命令是 keytool -genkeypair -alias MyCA ，如下图：
可以看到，除了提示我们输入 keystore 的密码和 MyCA 条目的密码之外，还提示我们输入名字、部门、组织、区域、国家代码等信息，这些信息主要是用来标识证书的所有者。按提示完成操作后，就在 keystore 中生成了一个 MyCA 条目，该条目中保存有 MyCA 的私钥和 MyCA 的自签名证书，该证书中包含 MyCA 的公钥。使用 keytool -list 命令看一下，可以看到 keystore 中新增的 MyCA 条目。
如果给 keytool -list 命令增加 -v 选项，则可以看到更加详细的内容。这些内容可以让我们对 MyCA 的证书有更直观的了解，如下图：
然后，再为我自己生成一个密钥对，使用命令 keytool -genkeypair -alias youxia 命令，按提示完成操作后，keystore 中就又多了一个 youxia 条目，如下图：
使用 keytool -list -v -alias youxia 命令可以查看 youxia 的证书，它也是自签名的，如下图：
自签名的证书可以使用，但是总不如认证机构颁发的证书权威。怎么样让 CA 为我们颁发证书呢?首先我们要向 CA 提交申请，提交申请的时候需要提交一份称为 certificate request 的数据。我们可以通过 keytool -certreq 命令针对 keystore 中相应的条目生成该数据。在这里，我想让 CA 给 youxia 颁发证书，则使用 keytool -certreq -alias youxia 来生成 certificate request，我同时使用管道和 tee 命令让生成的数据既显示在控制台中，又保存在文件 youxia.certreq 中，如下图：
从上图中可以看到，生成的 certificate request 数据是 Base64 编码的。然后，将该申请提交给 CA。当然，现实中的 CA 那都是要收费的，而且还不便宜。那么我只好自己提交给自己了，使用私有的 MyCA 来给 youxia 颁发证书。使用的命令为 keytool -gencert -alias MyCA -infile youxia.certreq -outfile youxia.cer，文件 youxia.cer 就是由 MyCA 颁发的证书。使用 keytool -printcert -v -file youxia.cer 命令可以查看该证书。
然后，申请者收到 CA 颁发的证书后，可以使用 keytool -importcert -alias youxia -file youxia.cer 将证书导入到 keystore 中。导入证书后，再使用 keytool -list -v -alias youxia 查看，会看到完整的证书链，如下图：
作为管理工具，keytool 当然提供导出证书的功能，使用 keytool -exportcert命令即可。至此，我们已经完全了解了生成密钥对和证书的完整流程。关于 keytool 更详细的参数，请大家自己查看 keytool 的文档吧。