Як витягти CN із сертифіката X509 на Java?

Я використовую SslServerSocketсертифікати а і клієнта і хочу витягти CN із SubjectDN із клієнтського X509Certificate.

На даний момент я телефоную, cert.getSubjectX500Principal().getName()але це, звичайно, дає мені загальний відформатований DN клієнта. Мене чомусь просто цікавить CN=theclientчастина DN. Чи є спосіб витягти цю частину DN без синтаксичного аналізу рядка?

Ось код для нового не застарілого API BouncyCastle. Вам знадобляться як дистрибутиви bcmail, так і bcprov.

X509Certificate cert = ...;

X500Name x500name = new JcaX509CertificateHolder(cert).getSubject();
RDN cn = x500name.getRDNs(BCStyle.CN)[0];

return IETFUtils.valueToString(cn.getFirst().getValue());

ось інший спосіб. ідея полягає в тому, що отриманий вами DN має формат rfc2253, який є таким самим, як і для DN LDAP. То чому б не використовувати LDAP API повторно?

import javax.naming.ldap.LdapName;
import javax.naming.ldap.Rdn;

String dn = x509cert.getSubjectX500Principal().getName();
LdapName ldapDN = new LdapName(dn);
for(Rdn rdn: ldapDN.getRdns()) {
    System.out.println(rdn.getType() + " -> " + rdn.getValue());
}

Якщо додавання залежностей не є проблемою, ви можете зробити це за допомогою API Bouncy Castle для роботи із сертифікатами X.509:

import org.bouncycastle.asn1.x509.X509Name;
import org.bouncycastle.jce.PrincipalUtil;
import org.bouncycastle.jce.X509Principal;

...

final X509Principal principal = PrincipalUtil.getSubjectX509Principal(cert);
final Vector<?> values = principal.getValues(X509Name.CN);
final String cn = (String) values.get(0);

Оновлення

На момент цієї публікації це був спосіб зробити це. Однак, як згадує gtrak у коментарях, цей підхід зараз застарів. Дивіться оновлений код gtrak, який використовує новий API Bouncy Castle.

Як альтернатива коду gtrak, який не потребує `` bcmail '':

    X509Certificate cert = ...;
    X500Principal principal = cert.getSubjectX500Principal();

    X500Name x500name = new X500Name( principal.getName() );
    RDN cn = x500name.getRDNs(BCStyle.CN)[0]);

    return IETFUtils.valueToString(cn.getFirst().getValue());

@Jakub: Я користувався вашим рішенням, поки мій SW не повинен був працювати на Android. І Android не реалізує javax.naming.ldap :-(

Один рядок з http://www.cryptacular.org

CertUtil.subjectCN(certificate);

JavaDoc: http://www.cryptacular.org/javadocs/org/cryptacular/util/CertUtil.html#subjectCN(java.security.cert.X509Certificate)

Залежність від Maven:

<dependency>
    <groupId>org.cryptacular</groupId>
    <artifactId>cryptacular</artifactId>
    <version>1.1.0</version>
</dependency>

Усі відповіді, опубліковані на даний момент, мають певні проблеми: більшість використовують внутрішню X500Nameабо зовнішню залежність замку Баунті. Далі спирається на відповідь @ Jakub і використовує лише загальнодоступний API JDK, але також витягує CN, як вимагає OP. Він також використовує Java 8, який, стоячи в середині 2017 року, вам справді повинен.

Stream.of(certificate)
    .map(cert -> cert.getSubjectX500Principal().getName())
    .flatMap(name -> {
        try {
            return new LdapName(name).getRdns().stream()
                    .filter(rdn -> rdn.getType().equalsIgnoreCase("cn"))
                    .map(rdn -> rdn.getValue().toString());
        } catch (InvalidNameException e) {
            log.warn("Failed to get certificate CN.", e);
            return Stream.empty();
        }
    })
    .collect(joining(", "))

Ось як це зробити, використовуючи регулярний вираз cert.getSubjectX500Principal().getName(), якщо ви не хочете брати залежність від BouncyCastle.

Цей регулярний вираз проаналізує видатне ім'я, дасть групи nameта valгрупи захоплення для кожного збігу.

Коли рядки DN містять коми, вони призначені для цитування - цей регулярний вираз правильно обробляє рядки, що цитують, і позбавляє лапок, а також обробляє екрановані лапки в рядках, що цитуються:

(?:^|,\s?)(?:(?<name>[A-Z]+)=(?<val>"(?:[^"]|"")+"|[^,]+))+

Ось добре відформатоване:

(?:^|,\s?)
(?:
    (?<name>[A-Z]+)=
    (?<val>"(?:[^"]|"")+"|[^,]+)
)+

Ось посилання, щоб ви могли бачити його в дії: https://regex101.com/r/zfZX3f/2

Якщо ви хочете, щоб регулярний вираз отримував лише CN, це зробить ця адаптована версія:

(?:^|,\s?)(?:CN=(?<val>"(?:[^"]|"")+"|[^,]+))

У мене є BouncyCastle 1.49, і клас, який він зараз має, - це org.bouncycastle.asn1.x509.Certificate. Я зазирнув до коду IETFUtils.valueToString()- він робить якісь фантазійні втечі із зворотними скісними рисками. Для доменного імені це не зробить нічого поганого, але я вважаю, що ми можемо зробити краще. У випадках, які я розглядаю, cn.getFirst().getValue()повертає різні типи рядків, які всі реалізують інтерфейс ASN1String, який є для надання методу getString (). Отже, те, що мені здається, працює

Certificate c = ...;
RDN cn = c.getSubject().getRDNs(BCStyle.CN)[0];
return ((ASN1String)cn.getFirst().getValue()).getString();

ОНОВЛЕННЯ: Цей клас знаходиться в пакеті "сонце", і ви повинні використовувати його з обережністю. Дякую Емілю за коментар :)

Просто хотів поділитися, щоб отримати CN, я роблю:

X500Name.asX500Name(cert.getSubjectX500Principal()).getCommonName();

Щодо коментаря Еміля Лундберга див .: " Чому розробники не повинні писати програми, які називають" сонячними "пакетами

Дійсно, завдяки gtrakцьому, здається, що отримати сертифікат клієнта та витягти CN, це, швидше за все, працює.

    X509Certificate[] certs = (X509Certificate[]) httpServletRequest
        .getAttribute("javax.servlet.request.X509Certificate");
    X509Certificate cert = certs[0];
    X509CertificateHolder x509CertificateHolder = new X509CertificateHolder(cert.getEncoded());
    X500Name x500Name = x509CertificateHolder.getSubject();
    RDN[] rdns = x500Name.getRDNs(BCStyle.CN);
    RDN rdn = rdns[0];
    String name = IETFUtils.valueToString(rdn.getFirst().getValue());
    return name;

Можна використовувати криптовалюту, яка є криптографічною бібліотекою Java, побудованою поверх Bouncycastle для зручного використання.

RDNSequence dn = new NameReader(cert).readSubject();
return dn.getValue(StandardAttributeType.CommonName);

Ви можете спробувати використовувати getName (X500Principal.RFC2253, oidMap) або getName(X500Principal.CANONICAL, oidMap)побачити, який із них найкраще форматує рядок DN. Можливо, одним із oidMapзначень карти буде рядок, який ви хочете.

Отримати CN із сертифіката не так просто. Наведений нижче код вам точно допоможе.

String certificateURL = "C://XYZ.cer";      //just pass location

CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509Certificate testCertificate = (X509Certificate)cf.generateCertificate(new FileInputStream(certificateURL));
String certificateName = X500Name.asX500Name((new X509CertImpl(testCertificate.getEncoded()).getSubjectX500Principal())).getCommonName();

Ще один спосіб зробити це з простою Java:

public static String getCommonName(X509Certificate certificate) {
    String name = certificate.getSubjectX500Principal().getName();
    int start = name.indexOf("CN=");
    int end = name.indexOf(",", start);
    if (end == -1) {
        end = name.length();
    }
    return name.substring(start + 3, end);
}

Вирази регулярних виразів досить дорогі у використанні. Для такого простого завдання це, мабуть, буде надмірним вбивством. Натомість ви можете використати простий розділ рядка:

String dn = ((X509Certificate) certificate).getIssuerDN().getName();
String CN = getValByAttributeTypeFromIssuerDN(dn,"CN=");

private String getValByAttributeTypeFromIssuerDN(String dn, String attributeType)
{
    String[] dnSplits = dn.split(","); 
    for (String dnSplit : dnSplits) 
    {
        if (dnSplit.contains(attributeType)) 
        {
            String[] cnSplits = dnSplit.trim().split("=");
            if(cnSplits[1]!= null)
            {
                return cnSplits[1].trim();
            }
        }
    }
    return "";
}

X500Name - це внутрішня реалізація JDK, однак ви можете використовувати відображення.

public String getCN(String formatedDN) throws Exception{
    Class<?> x500NameClzz = Class.forName("sun.security.x509.X500Name");
    Constructor<?> constructor = x500NameClzz.getConstructor(String.class);
    Object x500NameInst = constructor.newInstance(formatedDN);
    Method method = x500NameClzz.getMethod("getCommonName", null);
    return (String)method.invoke(x500NameInst, null);
}

Е. Значно полегшив видобуток:

X500Principal principal = x509Certificate.getSubjectX500Principal();
X500Name x500name = new X500Name(principal.getName());
String cn = x500name.getCommonName();

Для багатозначних атрибутів - за допомогою API LDAP ...

        X509Certificate testCertificate = ....

        X500Principal principal = testCertificate.getSubjectX500Principal(); // return subject DN
        String dn = null;
        if (principal != null)
        {
            String value = principal.getName(); // return String representation of DN in RFC 2253
            if (value != null && value.length() > 0)
            {
                dn = value;
            }
        }

        if (dn != null)
        {
            LdapName ldapDN = new LdapName(dn);
            for (Rdn rdn : ldapDN.getRdns())
            {
                Attributes attributes = rdn != null
                    ? rdn.toAttributes()
                    : null;

                Attribute attribute = attributes != null
                    ? attributes.get("CN")
                    : null;
                if (attribute != null)
                {
                    NamingEnumeration<?> values = attribute.getAll();
                    while (values != null && values.hasMoreElements())
                    {
                        Object o = values.next();
                        if (o != null && o instanceof String)
                        {
                            String cnValue = (String) o;
                        }
                    }
                }
            }
        }