当 Java 应用加载已签名 JAR 时，getProtectionDomain().getCodeSource().getSigners() 返回 null，通常源于证书链验证失败（如自签名证书未受信任），本文详解原因、诊断方法及可信证书导入全流程。
当 java 应用加载已签名 jar 时，`getprotectiondomain().getcodesource().getsigners()` 返回 null，通常源于证书链验证失败（如自签名证书未受信任），本文详解原因、诊断方法及可信证书导入全流程。
在 Java 17（及后续版本）中，Class.getProtectionDomain().getCodeSource().getSigners() 或 getCodeSource().getCertificates() 返回 null，即使 JAR 文件经 jarsigner -verify 显示“jar verified”，往往并非签名本身失效，而是 JVM 在运行时执行严格的证书链校验——若签名证书为自签名（self-signed）或其 CA 未被 JVM 信任库（cacerts）认可，JRE 将拒绝建立有效 CodeSource，导致签名信息无法暴露给 API。
典型错误线索来自 jarsigner -verify 的警告：
Warning: This jar contains entries whose certificate chain is invalid. Reason: PKIX path building failed: ... unable to find valid certification path to requested target This jar contains entries whose signer certificate is self-signed.
这明确指出：签名证书虽存在，但 JVM 无法构建可信路径，因此在安全上下文中视为“未签名”。
✅ 正确解决方案是将签名所用证书（或其根 CA）导入 JVM 默认信任库 cacerts：
立即学习“Java免费学习笔记（深入）”；
1. 提取签名证书
首先确认 JAR 中使用的别名（alias）。若使用标准 jarsigner 签名且未指定 -alias，默认为 mykey；可通过以下命令列出：
jarsigner -verify -verbose -certs your-app.jar | findstr "s ="
然后导出证书（假设别名为 mykey，密钥库为 keystore.jks）：
keytool -exportcert -alias mykey -keystore keystore.jks -storepass changeit -file signer.cer
2. 定位并验证 JVM truststore
JVM 默认信任库路径为：
Java项目代码review工具。分析Git变更+完整调用链路上下文，推断业务需求，进行多维度评分和分类汇总，生成完整PRD文档。包含细粒度Java代码审查清单（Null安全、异常处理、Streams、并发、equals/hashCode、资源管理、API设计、性能、MyBatis/ORM、事务边界、SQL/DD...
- Linux/macOS:
$JAVA_HOME/lib/security/cacerts - Windows:
%JAVA_HOME%\lib\security\cacerts
检查格式是否为 JKS（Java KeyStore）：
keytool -list -v -keystore "$JAVA_HOME/lib/security/cacerts" -storepass changeit | head -5
若提示 Keystore was tampered with, or password was incorrect 或非 JKS 格式（如 PKCS12），需转换：
keytool -importkeystore \ -srckeystore "$JAVA_HOME/lib/security/cacerts" \ -destkeystore "$JAVA_HOME/lib/security/cacerts.jks" \ -deststoretype jks \ -srcstorepass changeit -deststorepass changeit
3. 导入证书到信任库
keytool -importcert \ -alias myapp-signer \ -file signer.cer \ -keystore "$JAVA_HOME/lib/security/cacerts" \ -storepass changeit \ -noprompt
⚠️ 注意：需以管理员/Root 权限运行（尤其 Windows 上修改 JDK 内置
cacerts）；若多 JDK 环境，请确保修改的是当前java -version对应的$JAVA_HOME。
4. 验证与重启
重新运行 jarsigner -verify your-app.jar —— 警告应消失，显示 jar verified.（无 Warning）。随后在代码中调用：
CodeSigner[] signers = MyClass.class.getProtectionDomain()
.getCodeSource().getCodeSigners(); // ✅ 不再为 null
Certificate[] certs = MyClass.class.getProtectionDomain()
.getCodeSource().getCertificates(); // ✅ 返回证书数组若仍为 null，请确认：
- 类确实由该已签名 JAR 加载（检查
MyClass.class.getProtectionDomain().getCodeSource().getLocation()）； - 未启用
--illegal-access=deny或--enable-preview等干扰安全策略的 JVM 参数； - 没有自定义
SecurityManager或Policy主动屏蔽签名信息。
? 补充说明：Java 自 9 起默认禁用部分弱算法（如 MD2、SHA1withRSA 用于签名），若签名使用 SHA1 或 MD5，需在 java.security 中显式启用（不推荐，应重签为 SHA256withRSA）。可通过 jarsigner -verbose -certs your.jar 查看签名算法。
通过以上步骤，即可让 JVM 正确识别并暴露代码签名者信息，满足运行时完整性校验、白名单授权等安全需求。
