14. SSLSocket 实战：创建一个安全的客户端/服务器聊天应用

聊了这么多理论，终于到了动手的时候。

说实话，SSL/TLS 这东西，光看文档是学不会的。你得亲手写一遍，踩几个坑，才能真正理解它怎么工作。今天我们就来做一个完整的聊天应用——客户端和服务器之间，所有消息都走 SSL 加密。

14.1 整体架构：谁跟谁说话？

先画个图，让你对整个流程有个直观印象。

📱 客户端 SSLSocket 发送: "你好" 🖥️ 服务器 SSLServerSocket 接收: "你好" 🔒 TLS 加密通道 1. TCP 连接建立 2. TLS 握手（证书验证） 3. 加密通信开始 SSL 聊天应用架构 客户端 → 服务器，全程加密

流程其实很简单：客户端用 SSLSocket 连服务器，服务器用 SSLServerSocket 等连接。连接建立后，两边互发消息，所有数据都经过 TLS 加密。

核心要点： 你不需要自己实现加密算法。SSL/TLS 层帮你搞定了密钥交换、证书验证、数据加密。你只需要像操作普通 Socket 一样读写数据就行。

14.2 服务端实现：先搭好架子

我个人习惯先写服务器。因为服务器是“被动方”，逻辑更清晰。

14.2.1 准备证书

没有证书，SSL 玩不转。开发阶段我们用自签名证书。

keytool -genkey -alias server -keyalg RSA -keysize 2048 \
  -keystore server.jks -validity 365 \
  -dname "CN=localhost, OU=Dev, O=MyApp, L=Beijing, ST=Beijing, C=CN"

这里有个坑：CN 一定要填 localhost，或者你服务器的真实域名。客户端验证时会检查这个字段。我之前有个同事填了 CN=MyServer，结果客户端连不上，查了半天才发现是证书域名不匹配。

14.2.2 服务器代码

import javax.net.ssl.*;
import java.io.*;
import java.security.KeyStore;

public class SSLServer {
    public static void main(String[] args) throws Exception {
        int port = 8443;

        // 加载密钥库
        KeyStore ks = KeyStore.getInstance("JKS");
        ks.load(new FileInputStream("server.jks"), "changeit".toCharArray());

        // 初始化密钥管理器
        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, "changeit".toCharArray());

        // 创建 SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLSv1.3");
        sslContext.init(kmf.getKeyManagers(), null, null);

        // 创建服务器套接字
        SSLServerSocketFactory ssf = sslContext.getServerSocketFactory();
        SSLServerSocket serverSocket = (SSLServerSocket) ssf.createServerSocket(port);

        // 设置支持的加密套件（可选）
        serverSocket.setEnabledCipherSuites(new String[]{
            "TLS_AES_128_GCM_SHA256",
            "TLS_AES_256_GCM_SHA384"
        });

        System.out.println("服务器启动，监听端口: " + port);

        while (true) {
            SSLSocket clientSocket = (SSLSocket) serverSocket.accept();
            System.out.println("客户端已连接: " + clientSocket.getInetAddress());

            // 启动一个线程处理客户端
            new Thread(() -> handleClient(clientSocket)).start();
        }
    }

    private static void handleClient(SSLSocket socket) {
        try (
            BufferedReader in = new BufferedReader(
                new InputStreamReader(socket.getInputStream()));
            PrintWriter out = new PrintWriter(
                socket.getOutputStream(), true)
        ) {
            String line;
            while ((line = in.readLine()) != null) {
                System.out.println("收到: " + line);
                out.println("服务器回复: " + line);
            }
        } catch (IOException e) {
            e.printStackTrace();
        } finally {
            try { socket.close(); } catch (IOException e) { }
        }
    }
}

小提示： 生产环境不要用 TLSv1.3 吗？其实可以，但要注意客户端是否支持。如果客户端是 Android 10 以下，可能只支持 TLSv1.2。我一般会同时启用两个版本：sslContext.getInstance("TLSv1.2")，然后通过 setEnabledProtocols 控制。

14.3 客户端实现：主动发起连接

客户端这边，需要信任服务器的证书。如果是自签名证书，你得把证书导入客户端的信任库。

14.3.1 导出服务器证书

keytool -export -alias server -keystore server.jks \
  -file server.cer -rfc

14.3.2 客户端代码

import javax.net.ssl.*;
import java.io.*;
import java.security.KeyStore;
import java.security.cert.X509Certificate;

public class SSLClient {
    public static void main(String[] args) throws Exception {
        String host = "localhost";
        int port = 8443;

        // 加载信任库（包含服务器证书）
        KeyStore ts = KeyStore.getInstance("JKS");
        ts.load(new FileInputStream("truststore.jks"), "changeit".toCharArray());

        // 初始化信任管理器
        TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
        tmf.init(ts);

        // 创建 SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLSv1.3");
        sslContext.init(null, tmf.getTrustManagers(), null);

        // 创建客户端套接字
        SSLSocketFactory sf = sslContext.getSocketFactory();
        SSLSocket socket = (SSLSocket) sf.createSocket(host, port);

        // 开始握手（也可以自动触发）
        socket.startHandshake();
        System.out.println("TLS 握手成功！");

        // 通信
        try (
            BufferedReader in = new BufferedReader(
                new InputStreamReader(socket.getInputStream()));
            PrintWriter out = new PrintWriter(
                socket.getOutputStream(), true);
            BufferedReader console = new BufferedReader(
                new InputStreamReader(System.in))
        ) {
            String userInput;
            while ((userInput = console.readLine()) != null) {
                out.println(userInput);
                String response = in.readLine();
                System.out.println("服务器: " + response);
            }
        }

        socket.close();
    }
}

注意： 千万不要在生产环境使用 TrustManager 信任所有证书！我见过太多人为了省事，直接写一个空的信任管理器。这等于把门锁拆了。如果你必须信任自签名证书，请用上面的方式导入信任库。

14.4 运行与测试

先启动服务器，再启动客户端。你会看到类似这样的输出：

// 服务器端
服务器启动，监听端口: 8443
客户端已连接: /127.0.0.1
收到: 你好
收到: 今天天气不错

// 客户端
TLS 握手成功！
你好
服务器: 服务器回复: 你好
今天天气不错
服务器: 服务器回复: 今天天气不错

嗯，看起来一切正常。但你真的确定数据是加密的吗？我们来验证一下。

14.4.1 抓包验证

用 Wireshark 抓一下 8443 端口的包。你会看到：

  • 前几个包是 TCP 三次握手
  • 然后是 TLS 握手（Client Hello、Server Hello、证书交换等）
  • 之后的所有数据都是 Application Data，内容完全不可读

如果你看到明文内容，说明你的 SSL 配置有问题。我曾经犯过一个错误：服务器和客户端用的 SSLContext 版本不一致，结果降级到了明文传输。还好测试阶段发现了。

14.5 常见问题与避坑

问题 原因 解决方案
javax.net.ssl.SSLHandshakeException 证书不信任或域名不匹配 检查信任库和 CN 字段
No appropriate protocol 客户端和服务器支持的 TLS 版本不一致 显式设置 setEnabledProtocols
连接被重置 证书过期或密钥库密码错误 重新生成证书
握手超时 防火墙阻止了端口 检查网络连通性

我的经验： 调试 SSL 问题时，打开 -Djavax.net.debug=ssl:handshake 这个 JVM 参数。它会打印详细的握手过程，哪个证书出了问题、哪个加密套件被拒绝了，一目了然。这个参数救过我很多次。

14.6 扩展：双向认证

上面的例子是“单向认证”——客户端验证服务器。如果你需要更高的安全性，可以启用“双向认证”：服务器也验证客户端。

改动很小：

// 服务器端：设置需要客户端证书
serverSocket.setNeedClientAuth(true);

// 客户端：加载自己的客户端证书
KeyStore ks = KeyStore.getInstance("JKS");
ks.load(new FileInputStream("client.jks"), "changeit".toCharArray());
KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
kmf.init(ks, "changeit".toCharArray());
sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);

双向认证的好处是：服务器可以确认“你是谁”。在金融、政务等场景中很常见。但代价是证书管理更复杂了——每个客户端都要有自己的证书。

14.7 总结

今天我们用不到 100 行代码，实现了一个完整的 SSL 聊天应用。你想想看，如果没有 SSL/TLS，这些代码其实差不多——只是把 Socket 换成了 SSLSocket。但安全性天差地别。

核心就三点：

  • 服务器要有证书（密钥库）
  • 客户端要信任证书（信任库）
  • 读写数据跟普通 Socket 一样

下次你写网络应用时，记得加上 SSL。别等到数据被截获了才后悔。

公众号:蓝海资料掘金营，微信deep3321

← 上一章 📖 返回目录 下一章 →