jarsigner介紹與用法詳解

一、jarsigner概述

jarsigner是Java Development Kit自帶的命令行工具，用於對JAR、WAR、EAR等Java軟件包進行數字簽名，並可以驗證這些簽名的有效性。數字簽名是保證Java軟件包不被篡改的一種方式，驗證簽名的有效性是保證軟件包的完整性和安全性。

jarsigner對於Java軟件包的數字簽名和驗證非常重要。下面將深入介紹其具體功能和用法。

二、jarsigner基本命令

jarsigner可使用以下命令：

jarsigner [options] jar-file alias
jarsigner -verify [options] jar-file

其中：

• jar-file：需要簽名或驗證簽名的Java軟件包，可以是JAR、WAR、EAR等類型的文件；
• alias：用於簽名的數字證書名稱，如果使用了keystore，也可以是在其中存儲的證書別名。

下面是一些常用的選項：

• -keystore：指定數字證書存儲位置，不指定則使用默認的證書存儲文件。可以使用「-storepass」選項設置密碼；
• -tsa：指定時間戳機構URL，用於證明簽名是在某個特定的時間之前完成的；
• -verbose：翻譯簽名操作的詳細輸出。

三、數字證書和keystore

jarsigner使用數字證書對Java軟件包進行簽名，簽名證書使用X.509格式，可使用Java keytool命令從數字證書頒發機構（如CA）處獲得。數字證書包含一個公鑰和一個私鑰，私鑰是簽名Java軟件包時使用的。

數字證書需要存儲在keystore中，keystore是一個包含數字證書的文件（通常是.jks或.p12格式），需要用密碼進行保護。可以使用Java keytool命令創建和管理keystore。

使用jarsigner進行簽名時，可以指定keystore的位置和密碼：

jarsigner -keystore myKeystore jar-file myCertificate 

四、如何簽名Java軟件包

簽名Java軟件包的過程分為以下三個步驟：

1. 生成數字證書，並將其存儲在keystore中；
2. 對Java軟件包進行數字簽名；
3. 使用jarsigner驗證簽名的有效性。

1. 生成數字證書

可以使用Java keytool命令生成數字證書，並將證書存儲在keystore中。以下命令可生成一個包含一個自簽名數字證書的keystore：

keytool -genkey -alias myAlias -keyalg RSA -keysize 2048 -validity 1800 -keystore myKeystore

其中：

• alias：數字證書的別名；
• keyalg：密鑰算法，這裡使用RSA；
• keysize：密鑰長度，這裡設置為2048位；
• validity：證書有效期，這裡設置為30天；
• keystore：keystore文件的名稱，默認為.jks格式。

2. 對Java軟件包進行數字簽名

使用以下命令對Java軟件包進行數字簽名：

jarsigner -keystore myKeystore myApp.jar myAlias

其中：

• myApp.jar：需要簽名的Java軟件包；
• myAlias：數字證書的別名。

3. 驗證簽名的有效性

可以使用以下命令驗證簽名的有效性：

jarsigner -verify -verbose myApp.jar

如果簽名有效，則應該看到以下輸出：

jar verified.
Warning: 
This jar contains entries whose signer certificate will expire within six months.
Re-run with the -verbose and -certs options for more details.

五、jarsigner常用選項

jarsigner有許多其他選項，下面是一些常用的選項。

1. -storepass

使用以下命令指定keystore密碼：

jarsigner -keystore myKeystore -storepass myPassword myApp.jar myAlias

2. -tsa

使用以下命令指定時間戳機構URL：

jarsigner -tsa http://timestamp.digicert.com myApp.jar myAlias

3. -verbose

使用以下命令翻譯簽名操作的詳細輸出：

jarsigner -verbose myApp.jar myAlias

六、jarsigner異常處理

jarsigner可能會拋出以下異常：

1. 未找到keystore

jarsigner: unable to open jar file: myApp.jar

發生此異常的原因是沒有找到keystore。可以使用以下命令指定keystore的位置：

jarsigner -keystore myKeystore myApp.jar myAlias

2. keystore密碼不匹配

jarsigner: keystores/MyKeyStore not found

發生此異常的原因是密碼錯誤。可以使用以下命令指定正確的密碼：

jarsigner -keystore myKeystore -storepass myPassword myApp.jar myAlias

3. 證書過期

jarsigner: Certificate chain not found for myAlias.  myAlias must reference a valid KeyStore key entry containing a private key and corresponding public key certificate chain.

發生此異常的原因是數字證書已過期。可以使用新的數字證書進行簽名。

七、結論

jarsigner是一個非常有用的Java工具，可以方便地對Java軟件包進行數字簽名，並且可以驗證簽名的有效性。使用jarsigner可以提高Java應用程序的安全性和可靠性。