由于许多令人不快的原因，我一直在尝试使用 bouncycastle API 手动构建自己的证书签名请求。
表面上，我选择这样做是因为我需要 CSR 的预签名版本，以便使用存储在 HSM 中并在 LMK 下加密的密钥生成 sha256withRSA 签名，因此在创建 CSR 时无法立即使用。
无论如何，这在这一点上是偶然的。
我通过与使用 openSSL 生成的其他 CSR 进行比较，成功创建了一个 CSR 结构，向其中添加所需的信息，将其发送到 HSM 以使用私钥生成签名，取回该签名，然后将其附加到 CSR 。
然后，我将生成的证书粘贴到几个 CSR 检查器中，特别是赛门铁克的检查器，因为我相信，我们的 CA 必须对此进行签名。
赛门铁克 CSR 检查员自信地告诉我：
CSR 的 AlgorithmIdentifier 参数中缺少 NULL 值
Hmm. Ok.
然后它给出了一个好的例子：
下面是我将这个特定的 NULL 值添加到 AlgorithmIdentifier 对象中的代码：
ASN1EncodableVector topLevelPublicKeySequenceVector = new ASN1EncodableVector();
ASN1EncodableVector publicKeySequenceVector = new ASN1EncodableVector();
AlgorithmIdentifier rsaEncryptionOid = new AlgorithmIdentifier(PKCSObjectIdentifiers.rsaEncryption, DERNull.INSTANCE);
ASN1Integer pkModulus = new ASN1Integer(publicKey.getModulus());
ASN1Integer pkExponent = new ASN1Integer(publicKey.getPublicExponent());
publicKeySequenceVector.add(pkModulus);
publicKeySequenceVector.add(pkExponent);
DERSequence publicKeySequence = new DERSequence(publicKeySequenceVector);
DERBitString publicKeyBitString = null;
try {
publicKeyBitString = new DERBitString(publicKeySequence);
} catch (IOException e1) {
e1.printStackTrace();
}
topLevelPublicKeySequenceVector.add(rsaEncryptionOid);
topLevelPublicKeySequenceVector.add(publicKeyBitString);
DERSequence topLevelPublicKeySequence = new DERSequence(topLevelPublicKeySequenceVector);
因此，如果我将 CSR 放入 ASN.1 解码器中，查看这个 AlgorithmIdentifier 参数并验证它确实缺少这个 NULL 值，我会得到以下输出（包含虚假值，以便于StackOverflow），它显示我的 NULL 值似乎就在那里，我期望它在哪里：
SEQUENCE(3 elem)
SEQUENCE(3 elem)
INTEGER 0
SEQUENCE(7 elem)
SET(1 elem)
SEQUENCE(2 elem)
OBJECT IDENTIFIER 2.5.4.6 countryName (X.520 DN component)
PrintableString GB
SET(1 elem)
SEQUENCE(2 elem)
OBJECT IDENTIFIER 2.5.4.8 stateOrProvinceName (X.520 DN component)
UTF8String Sol
SET(1 elem)
SEQUENCE(2 elem)
OBJECT IDENTIFIER 2.5.4.7 localityName (X.520 DN component)
UTF8String Earth
SET(1 elem)
SEQUENCE(2 elem)
OBJECT IDENTIFIER 2.5.4.10 organizationName (X.520 DN component)
UTF8String Stackoverflow
SET(1 elem)
SEQUENCE(2 elem)
OBJECT IDENTIFIER 2.5.4.11 organizationalUnitName (X.520 DN component)
UTF8String Stackoverflow
SET(1 elem)
SEQUENCE(2 elem)
OBJECT IDENTIFIER 2.5.4.3 commonName (X.520 DN component)
UTF8String common.name.for.stackoverflow
SET(1 elem)
SEQUENCE(2 elem)
OBJECT IDENTIFIER 1.2.840.113549.1.9.1 emailAddress (PKCS #9)
IA5String [email protected] /cdn-cgi/l/email-protection
SEQUENCE(2 elem)
SEQUENCE(2 elem)
OBJECT IDENTIFIER 1.2.840.113549.1.1.1 rsaEncryption (PKCS #1)
NULL
BIT STRING(1 elem)
SEQUENCE(2 elem)
INTEGER(2048 bit) 231457529965blahblahetc
INTEGER65537
SEQUENCE(2 elem)
OBJECT IDENTIFIER 1.2.840.113549.1.1.11 sha256WithRSAEncryption (PKCS #1)
NULL
BIT STRING(2048 bit) 1011010etc etc...
因此，对于我所描述的稍微迂回的方式表示歉意，是否有人知道为什么我的 CSR 无法对缺失字段进行验证，也就是说，它看起来并不真正缺失？
编辑：
这是实际的请求（或者至少是我使用具有相同症状的无意义值生成的请求，出于本问题的目的）
-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----
