使用 AndroidKeyStoreProvider 生成证书签名请求的最佳方法是什么？

I read 本文.

它说如何生成KeyPair，但是它没有指定如何根据生成的密钥生成证书签名请求。

根据我的研究，要在 Java 中生成 CSR，网络上的示例通常使用该包sun.*或 BouncyCastle 库。似乎没有办法生成符合标准的 CSRjava.securityAPI。我读this它似乎说的是同样的事情。

我别无选择只能使用 BouncyCastle 吗？很难想象Android开发者不考虑这种用法。

顺便说一句，文章还提到：

生成新的 PrivateKey 还需要您指定 自签名证书将具有的初始 X.509 属性。 您可以稍后用证书替换该证书 由证书颁发机构签署

假设我最终获得了由证书颁发机构签名的证书。 “稍后更换证书”具体应该怎么做？

在 Android 上创建 CSR 的最佳方法是使用海绵城堡，这是一个实现充气城堡对于安卓。 SpongyCastle 已经为您完成了很多繁重的工作，因此它将让您的生活变得更加轻松。

我的实现很大程度上基于找到的答案here，但使用 Android KeyStore 来确保安全，并使用 SpongyCastle 的JcaContentSignerBuilder()而不是习惯ContentSigner.

将 SpongyCastle 添加到您的build.gradle file:

compile 'com.madgag.spongycastle:core:1.51.0.0'
compile 'com.madgag.spongycastle:pkix:1.51.0.0'

在中创建密钥对Android 密钥库:

KeyPairGenerator keyGen = KeyPairGenerator.getInstance(KeyProperties.KEY_ALGORITHM_RSA, "AndroidKeyStore"); // store the key in the Android KeyStore for security purposes
keyGen.initialize(new KeyGenParameterSpec.Builder(
                  "key1",
                  KeyProperties.PURPOSE_SIGN)
                  .setSignaturePaddings(KeyProperties.SIGNATURE_PADDING_RSA_PKCS1)
                  .setDigests(KeyProperties.DIGEST_SHA256,
                                KeyProperties.DIGEST_SHA384,
                                KeyProperties.DIGEST_SHA512)
                  .build()); // defaults to RSA 2048
KeyPair keyPair = keyGen.generateKeyPair();

使用所述密钥对创建 CSR：

private final static String CN_PATTERN = "CN=%s, O=Aralink, OU=OrgUnit";

//Create the certificate signing request (CSR) from private and public keys
public static PKCS10CertificationRequest generateCSR(KeyPair keyPair, String cn) throws IOException, OperatorCreationException {
        String principal = String.format(CN_PATTERN, cn);

        ContentSigner signer = new JcaContentSignerBuilder(DEFAULT_RSA_SIGNATURE_ALGORITHM).build(keyPair.getPrivate());

        PKCS10CertificationRequestBuilder csrBuilder = new JcaPKCS10CertificationRequestBuilder(
                new X500Name(principal), keyPair.getPublic());
        ExtensionsGenerator extensionsGenerator = new ExtensionsGenerator();
        extensionsGenerator.addExtension(Extension.basicConstraints, true, new BasicConstraints(
                true));
        csrBuilder.addAttribute(PKCSObjectIdentifiers.pkcs_9_at_extensionRequest,
                extensionsGenerator.generate());
        PKCS10CertificationRequest csr = csrBuilder.build(signer);

        return csr;
    }
}

就是这样，现在你有一个PKCS10CertificationRequest您可以发送到您的服务器。