Класс X509CertSelector

public X509CertSelector()

Создаёт X509CertSelector. Изначально критерии не заданы, поэтому любой X509Certificate будет соответствовать.

public void setCertificate(X509Certificate cert)

Устанавливает критерий certificateEquals. Указанный X509Certificate должен быть равен X509Certificate, переданному методу match. Если null, то эта проверка не применяется.

Этот метод особенно полезен, когда необходимо сопоставить один сертификат. Хотя другие критерии могут быть заданы совместно с критерием certificateEquals, это обычно непрактично или не требуется.

public void setSerialNumber(BigInteger serial)

Устанавливает критерий serialNumber. Указанный номер сертификата должен соответствовать номеру сертификата в X509Certificate. Если null, любой номер сертификата подойдёт.

public void setIssuer(X500Principal issuer)

Устанавливает критерий issuer. Указанное имя должен соответствовать имени издателя в X509Certificate. Если null, любое имя издателя подойдёт.

@Deprecated(since="16") public void setIssuer(String issuerDN) throws IOException

Устанавливает критерий issuer. Указанное имя должно соответствовать имени издателя в X509Certificate. Если null, любое имя издателя подойдёт.

Если issuerDN не является null, оно должно содержать имя, в формате RFC 2253.

public void setIssuer(byte[] issuerDN) throws IOException

Устанавливает критерий issuer. Указанное имя должно соответствовать имени издателя в X509Certificate. Если null задано, критерий issuer отключен, и любое имя издателя подойдёт.

Если issuerDN не является null, оно должно содержать одно имя в кодировке DER, определённое в X.501. ASN.1 обозначение для этой структуры следующее.

 Name ::= CHOICE {
   RDNSequence }

 RDNSequence ::= SEQUENCE OF RelativeDistinguishedName

 RelativeDistinguishedName ::=
   SET SIZE (1 .. MAX) OF AttributeTypeAndValue

 AttributeTypeAndValue ::= SEQUENCE {
   type     AttributeType,
   value    AttributeValue }

 AttributeType ::= OBJECT IDENTIFIER

 AttributeValue ::= ANY DEFINED BY AttributeType
 ....
 DirectoryString ::= CHOICE {
       teletexString           TeletexString (SIZE (1..MAX)),
       printableString         PrintableString (SIZE (1..MAX)),
       universalString         UniversalString (SIZE (1..MAX)),
       utf8String              UTF8String (SIZE (1.. MAX)),
       bmpString               BMPString (SIZE (1..MAX)) }
 

Обратите внимание, что указанный массив байтов клонируется для защиты от последующих изменений.

public void setSubject(X500Principal subject)

Устанавливает критерий subject. Указанное имя должно соответствовать имени субъекта в X509Certificate. Если null, любое имя субъекта подойдёт.

@Deprecated(since="16") public void setSubject(String subjectDN) throws IOException

Устанавливает критерий subject. Указанное имя должно соответствовать имени субъекта в X509Certificate. Если null, любое имя субъекта подойдёт.

Если subjectDN не является null, оно должно содержать имя в формате RFC 2253.

public void setSubject(byte[] subjectDN) throws IOException

Устанавливает критерий subject. Указанное имя должно соответствовать имени субъекта в X509Certificate. Если null, любое имя субъекта подойдёт.

Если subjectDN не является null, оно должно содержать одно имя в кодировке DER, определённое в X.501. См. ASN.1 обозначение для этой структуры в setIssuer(byte[]).

public void setSubjectKeyIdentifier(byte[] subjectKeyID)

Устанавливает критерий subjectKeyIdentifier. X509Certificate должен содержать расширение SubjectKeyIdentifier, содержимое которого соответствует заданному критерию. Если значение критерия null, проверка subjectKeyIdentifier не будет выполнена.

Если subjectKeyID не null, оно должно содержать одно значение DER, соответствующее содержимому значения расширения (без учёта идентификатора объекта, установленного критичности и окружающего OCTET STRING) для расширения SubjectKeyIdentifier. ASN.1 обозначение для этой структуры приведено ниже.

 SubjectKeyIdentifier ::= KeyIdentifier

 KeyIdentifier ::= OCTET STRING
 

Поскольку формат идентификаторов ключей субъекта не регламентирован стандартом, идентификаторы ключей субъекта не анализируются X509CertSelector. Вместо этого значения сравниваются побайтово.

Обратите внимание, что массив байтов, переданный здесь, дублируется для защиты от последующих изменений.

public void setAuthorityKeyIdentifier(byte[] authorityKeyID)

Устанавливает критерий authorityKeyIdentifier. X509Certificate должен содержать расширение AuthorityKeyIdentifier, содержимое которого соответствует заданному критерию. Если значение критерия null, проверка authorityKeyIdentifier не будет выполнена.

Если authorityKeyID не null, оно должно содержать одно кодированное значение DER, соответствующее содержимому значения расширения (без учёта идентификатора объекта, критического установления и окружающего OCTET STRING) для расширения AuthorityKeyIdentifier. ASN.1 обозначение для этой структуры приведено ниже.

 AuthorityKeyIdentifier ::= SEQUENCE {
    keyIdentifier             [0] KeyIdentifier           OPTIONAL,
    authorityCertIssuer       [1] GeneralNames            OPTIONAL,
    authorityCertSerialNumber [2] CertificateSerialNumber OPTIONAL  }

 KeyIdentifier ::= OCTET STRING
 

Идентификаторы ключей авторитета не анализируются X509CertSelector. Вместо этого значения сравниваются побайтово.

Когда поле keyIdentifier в AuthorityKeyIdentifier заполнено, значение обычно берется из расширения SubjectKeyIdentifier в сертификате издателя. Обратите внимание, однако, что результат X509Certificate.getExtensionValue(<SubjectKeyIdentifier Object Identifier>) на сертификате издателя НЕ может быть использован непосредственно в качестве входных данных для setAuthorityKeyIdentifier. Это потому, что SubjectKeyIdentifier содержит только OCTET STRING KeyIdentifier, а не SEQUENCE из KeyIdentifier, GeneralNames и CertificateSerialNumber. Для использования значения расширения сертификата издателя's SubjectKeyIdentifier расширения, необходимо извлечь значение вложенного KeyIdentifier OCTET STRING, затем закодировать этот OCTET STRING в SEQUENCE. Для получения более подробной информации о SubjectKeyIdentifier, см. setSubjectKeyIdentifier(byte[] subjectKeyID).

Также обратите внимание, что массив байтов, переданный здесь, клонируется для защиты от последующих изменений.

public void setCertificateValid(Date certValid)

Устанавливает критерий certificateValid. Указанная дата должна входить в период действия сертификата для X509Certificate. Если null, проверка certificateValid не будет выполнена.

Обратите внимание, что Date предоставленный здесь, клонируется для защиты от последующих изменений.

public void setPrivateKeyValid(Date privateKeyValid)

Устанавливает критерий privateKeyValid. Указанная дата должна входить в период действия закрытого ключа для X509Certificate. Если null, проверка privateKeyValid не будет выполнена.

Обратите внимание, что Date предоставленный здесь, клонируется для защиты от последующих изменений.

public void setSubjectPublicKeyAlgID(String oid) throws IOException

Устанавливает критерий subjectPublicKeyAlgID. X509Certificate должен содержать открытый ключ субъекта с указанным алгоритмом. Если null, проверка subjectPublicKeyAlgID не будет выполнена.

public void setSubjectPublicKey(PublicKey key)

Устанавливает критерий subjectPublicKey. X509Certificate должен содержать указанный открытый ключ субъекта. Если null, проверка subjectPublicKey не будет выполнена.

public void setSubjectPublicKey(byte[] key) throws IOException

Устанавливает критерий subjectPublicKey. X509Certificate должен содержать указанный открытый ключ субъекта. Если null, проверка subjectPublicKey не будет выполнена.

Поскольку этот метод позволяет указать открытый ключ в виде массива байтов, он может использоваться для неизвестных типов ключей.

Если key не null, он должен содержать одну структуру SubjectPublicKeyInfo в кодировке DER, как определено в X.509. ASN.1 запись этой структуры выглядит следующим образом.

 SubjectPublicKeyInfo  ::=  SEQUENCE  {
   algorithm            AlgorithmIdentifier,
   subjectPublicKey     BIT STRING  }

 AlgorithmIdentifier  ::=  SEQUENCE  {
   algorithm               OBJECT IDENTIFIER,
   parameters              ANY DEFINED BY algorithm OPTIONAL  }
                              -- contains a value of the type
                              -- registered for use with the
                              -- algorithm object identifier value
 

Обратите внимание, что массив байтов, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setKeyUsage(boolean[] keyUsage)

Устанавливает критерий keyUsage. X509Certificate должен допускать указанные значения keyUsage. Если null, проверка keyUsage не будет выполнена. Обратите внимание, что X509Certificate без расширения keyUsage неявно разрешает все значения keyUsage.

Обратите внимание, что массив boolean, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setExtendedKeyUsage(Set<String> keyPurposeSet) throws IOException

Устанавливает критерий extendedKeyUsage. X509Certificate должен разрешать указанные цели использования ключа в его расширении extended key usage. Если keyPurposeSet пусто или null, проверка extendedKeyUsage не будет выполнена. Обратите внимание, что X509Certificate без расширения extendedKeyUsage неявно разрешает все цели использования.

Обратите внимание, что Set клонируется для защиты от последующих изменений.

public void setMatchAllSubjectAltNames(boolean matchAllNames)

Включает/выключает сопоставление всех subjectAlternativeNames, указанных в методах setSubjectAlternativeNames или addSubjectAlternativeName. Если включено, X509Certificate должен содержать все указанные subject alternative names. Если выключено, X509Certificate должен содержать хотя бы один из указанных subject alternative names.

Флаг matchAllNames включен по умолчанию.

public void setSubjectAlternativeNames(Collection<List<?>> names) throws IOException

Устанавливает критерий subjectAlternativeNames. X509Certificate должен содержать все или хотя бы один из указанных subjectAlternativeNames, в зависимости от значения флага matchAllNames (см. setMatchAllSubjectAltNames).

Этот метод позволяет вызывающей стороне указать полный набор subject alternative names для критерия subjectAlternativeNames одним методом. Указанное значение заменяет предыдущее значение для критерия subjectAlternativeNames.

Параметр names (если не null) — набор с одним элементом для каждого имени, которое следует включить в критерий subject alternative name. Каждый элемент — это набор, в котором первый элемент — это Integer (тип имени, 0-8), а второй элемент — String или массив байтов (имя, соответственно, в строковом или ASN.1 DER кодированном виде). Может быть несколько имён одного типа. Если null указан в качестве значения для этого аргумента, проверка subjectAlternativeNames не будет выполняться.

Каждое subject alternative name в Collection может быть указано либо в виде String, либо в виде ASN.1 закодированного массива байтов. Более подробную информацию о используемых форматах см. в addSubjectAlternativeName(int type, String name) и addSubjectAlternativeName(int type, byte [] name).

Примечание: для distinguished names, укажите форму массива байтов вместо строковой формы. См. примечание в addSubjectAlternativeName(int, String) для получения дополнительной информации.

Обратите внимание, что параметр names может содержать дубликаты имён (одно имя и тип имени), но они могут быть удалены из Collection возвращаемого набором имён методом getSubjectAlternativeNames.

Обратите внимание, что выполняется глубокая копия Collection для защиты от последующих изменений.

public void addSubjectAlternativeName(int type, String name) throws IOException

Добавляет имя в критерий subjectAlternativeNames. Критерий X509Certificate должен содержать все или по крайней мере одно из указанных имен subjectAlternativeNames, в зависимости от значения флага matchAllNames (см. setMatchAllSubjectAltNames).

Этот метод позволяет вызывающему коду добавить имя в набор альтернативных имён субъекта. Указанное имя добавляется к любому предыдущему значению для критерия subjectAlternativeNames. Если указанное имя является дубликатом, оно может быть проигнорировано.

Имя предоставляется в строковом формате. RFC 822, DNS и URI имена используют хорошо зарекомендовавшие себя строковые форматы для этих типов (с учётом ограничений, включённых в RFC 5280). Имена адресов IPv4 предоставляются в формате с точками. Имена адресов OID представлены в виде последовательности неотрицательных целых чисел, разделённых точками. Имена каталогов (отличительные имена) предоставляются в формате RFC 2253. Стандартного строкового формата не определено для otherNames, имён X.400, имён сторон EDI, имён адресов IPv6 или других типов имён. Они должны быть указаны с использованием метода addSubjectAlternativeName(int type, byte [] name).

Примечание: для отличительных имён используйте addSubjectAlternativeName(int, byte[]) вместо этого. Не следует полагаться на этот метод, так как он может не соответствовать некоторым сертификатам из-за потери информации об кодировании в формате строки RFC 2253 некоторых отличительных имён.

public void addSubjectAlternativeName(int type, byte[] name) throws IOException

Добавляет имя в критерий subjectAlternativeNames. Критерий X509Certificate должен содержать все или по крайней мере одно из указанных имен subjectAlternativeNames, в зависимости от значения флага matchAllNames (см. setMatchAllSubjectAltNames).

Этот метод позволяет вызывающему коду добавить имя в набор альтернативных имён субъекта. Указанное имя добавляется к любому предыдущему значению для критерия subjectAlternativeNames. Если указанное имя является дубликатом, оно может быть проигнорировано.

Имя предоставляется как массив байтов. Этот массив байтов должен содержать закодированное в DER имя, как оно представлено в структуре GeneralName, определённой в RFC 5280 и X.509. Кодированный массив байтов должен содержать только закодированное значение имени и не должен включать тег, связанный с именем в структуре GeneralName. Определение ASN.1 этой структуры приведено ниже.

  GeneralName ::= CHOICE {
       otherName                       [0]     OtherName,
       rfc822Name                      [1]     IA5String,
       dNSName                         [2]     IA5String,
       x400Address                     [3]     ORAddress,
       directoryName                   [4]     Name,
       ediPartyName                    [5]     EDIPartyName,
       uniformResourceIdentifier       [6]     IA5String,
       iPAddress                       [7]     OCTET STRING,
       registeredID                    [8]     OBJECT IDENTIFIER}
 

Обратите внимание, что массив байтов, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setNameConstraints(byte[] bytes) throws IOException

Устанавливает критерий name constraints. Критерий X509Certificate должен иметь имена субъекта и альтернативные имена субъекта, которые соответствуют указанным ограничениям имён.

Ограничения имени задаются как массив байтов. Этот массив байтов должен содержать закодированную в DER форму ограничений имени, как они бы появились в структуре NameConstraints, определённой в RFC 5280 и X.509. Определение ASN.1 этой структуры приведено ниже.

  NameConstraints ::= SEQUENCE {
       permittedSubtrees       [0]     GeneralSubtrees OPTIONAL,
       excludedSubtrees        [1]     GeneralSubtrees OPTIONAL }

  GeneralSubtrees ::= SEQUENCE SIZE (1..MAX) OF GeneralSubtree

  GeneralSubtree ::= SEQUENCE {
       base                    GeneralName,
       minimum         [0]     BaseDistance DEFAULT 0,
       maximum         [1]     BaseDistance OPTIONAL }

  BaseDistance ::= INTEGER (0..MAX)

  GeneralName ::= CHOICE {
       otherName                       [0]     OtherName,
       rfc822Name                      [1]     IA5String,
       dNSName                         [2]     IA5String,
       x400Address                     [3]     ORAddress,
       directoryName                   [4]     Name,
       ediPartyName                    [5]     EDIPartyName,
       uniformResourceIdentifier       [6]     IA5String,
       iPAddress                       [7]     OCTET STRING,
       registeredID                    [8]     OBJECT IDENTIFIER}
 

Обратите внимание, что массив байтов, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setBasicConstraints(int minMaxPathLen)

Устанавливает ограничение basic constraints. Если значение больше или равно нулю, X509Certificates должен включать расширение basicConstraints с pathLen не менее этого значения. Если значение равно -2, принимаются только сертификаты конечных объектов. Если значение равно -1, проверка не выполняется.

Это ограничение полезно при построении пути сертификации вперёд (от цели к якорю доверия). Если частичный путь был построен, любой кандидат-сертификат должен иметь значение maxPathLen, большее или равное количеству сертификатов в частичном пути.

public void setPolicy(Set<String> certPolicySet) throws IOException

Устанавливает ограничение политики. X509Certificate должен включать по крайней мере одну из указанных политик в своем расширении certificate policies. Если certPolicySet пусто, то X509Certificate должен включать по крайней мере одну указанную политику в своем расширении certificate policies. Если certPolicySet равно null, проверка политики не будет выполнена.

Обратите внимание, что Set клонируется для защиты от последующих изменений.

public void setPathToNames(Collection<List<?>> names) throws IOException

Устанавливает критерий pathToNames. X509Certificate не должен включать ограничения имён, которые препятствовали бы построению пути к указанным именам.

Этот метод позволяет вызывающему коду указать, одним вызовом метода, весь набор имён, которые ограничения имён X509Certificates должны допускать. Указанное значение заменяет предыдущее значение для критерия pathToNames.

Это ограничение полезно при построении пути сертификации вперёд (от цели к якорю доверия). Если частичный путь был построен, любой кандидат-сертификат не должен включать ограничения имён, которые препятствовали бы построению пути к любому из имён в частичном пути.

Параметр names (если не null) - Collection с одним элементом для каждого имени, которое нужно включить в критерий pathToNames. Каждый элемент - List, чьё первое значение - Integer (тип имени, 0-8), а второе - String или массив байтов (имя в строковом или ASN.1 DER-кодированном формате соответственно). Может быть несколько имён одного типа. Если null предоставлено в качестве значения для этого аргумента, проверка pathToNames не будет выполняться.

Каждое имя в Collection может быть указано либо как String , либо как ASN.1 закодированный массив байтов. Подробнее о используемых форматах см. addPathToName(int type, String name) и addPathToName(int type, byte [] name).

Примечание: для отличительных имён указывайте форму массива байтов вместо строковой формы. См. примечание в addPathToName(int, String) для получения дополнительной информации.

Обратите внимание, что параметр names может содержать дубликаты имён (одинаковое имя и тип имени), но они могут быть удалены из Collection набора имён, возвращаемых методом getPathToNames.

Обратите внимание, что выполняется глубокая копия Collection для защиты от последующих изменений.

public void addPathToName(int type, String name) throws IOException

Добавляет имя в критерий pathToNames. X509Certificate не должен включать ограничения имён, которые препятствовали бы построению пути к указанному имени.

Этот метод позволяет вызывающему коду добавить имя в множество имён, которые ограничения имён X509Certificates должны допускать. Указанное имя добавляется к любому предыдущему значению для критерия pathToNames. Если имя является дубликатом, оно может быть проигнорировано.

Имя предоставляется в строковом формате. RFC 822, DNS и URI имена используют хорошо зарекомендовавшие себя строковые форматы для этих типов (с учётом ограничений, включённых в RFC 5280). Имена адресов IPv4 предоставляются в формате с точками. Имена адресов OID представлены в виде последовательности неотрицательных целых чисел, разделённых точками. Имена каталогов (отличительные имена) предоставляются в формате RFC 2253. Стандартного строкового формата не определено для otherNames, имён X.400, имён сторон EDI, имён адресов IPv6 или других типов имён. Они должны быть указаны с использованием метода addPathToName(int type, byte [] name).

Примечание: для отличительных имён используйте addPathToName(int, byte[]) вместо этого. Не следует полагаться на этот метод, так как он может не соответствовать некоторым сертификатам из-за потери информации об кодировании в формате строки RFC 2253 некоторых отличительных имён.

public void addPathToName(int type, byte[] name) throws IOException

Добавляет имя в критерий pathToNames. Указанное X509Certificate не должно содержать ограничений на имя, которые помешают построению пути к указанному имени.

Этот метод позволяет вызывающей стороне добавить имя в множество имён, которые ограничения на имя X509Certificates должны разрешать. Указанное имя добавляется к любому предыдущему значению для критерия pathToNames. Если имя дублируется, оно может быть проигнорировано.

Имя предоставляется в виде массива байтов. Этот массив байтов должен содержать кодированное в DER имя, как оно отображается в структуре GeneralName, определённой в RFC 5280 и X.509. Определение ASN.1 этой структуры приведено в документации для addSubjectAlternativeName(int type, byte [] name).

Обратите внимание, что предоставленный массив байтов клонируется для защиты от последующих изменений.

public X509Certificate getCertificate()

Возвращает критерий certificateEquals. Указанное X509Certificate должно быть равно X509Certificate , переданному методу match. Если null, эта проверка не применяется.

public BigInteger getSerialNumber()

Возвращает критерий serialNumber. Указанный серийный номер должен соответствовать серийному номеру сертификата в X509Certificate. Если null, любой серийный номер сертификата подойдёт.

public X500Principal getIssuer()

Возвращает критерий issuer как X500Principal. Это имя по каталогу должно соответствовать имени по каталогу эмитента в X509Certificate. Если null, критерий эмитента отключён, и любое имя по каталогу эмитента подойдёт.

@Deprecated(since="16") public String getIssuerAsString()

Возвращает критерий issuer как String. Это имя по каталогу должно соответствовать имени по каталогу эмитента в X509Certificate. Если null, критерий эмитента отключён, и любое имя по каталогу эмитента подойдёт.

Если возвращаемое значение не null, это имя по каталогу в формате RFC 2253.

public byte[] getIssuerAsBytes() throws IOException

Возвращает критерий issuer в виде массива байтов. Это имя по каталогу должно соответствовать имени по каталогу эмитента в X509Certificate. Если null, критерий эмитента отключён, и любое имя по каталогу эмитента подойдёт.

Если возвращаемое значение не null, это массив байтов, содержащий единственное кодированное в DER имя по каталогу, как определено в X.501. Нотация ASN.1 для этой структуры приведена в документации для setIssuer(byte[]).

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public X500Principal getSubject()

Возвращает критерий subject как X500Principal. Это имя по каталогу должно соответствовать имени по каталогу получателя в X509Certificate. Если null, критерий получателя отключён, и любое имя по каталогу получателя подойдёт.

@Deprecated(since="16") public String getSubjectAsString()

Возвращает критерий subject как String. Это имя по каталогу должно соответствовать имени по каталогу получателя в X509Certificate. Если null, критерий получателя отключён, и любое имя по каталогу получателя подойдёт.

Если возвращаемое значение не null, это имя по каталогу в формате RFC 2253.

public byte[] getSubjectAsBytes() throws IOException

Возвращает критерий subject в виде массива байтов. Это имя по каталогу должно соответствовать имени по каталогу получателя в X509Certificate. Если null, критерий получателя отключён, и любое имя по каталогу получателя подойдёт.

Если возвращаемое значение не null, это массив байтов, содержащий единственное кодированное в DER имя по каталогу, как определено в X.501. Нотация ASN.1 для этой структуры приведена в документации для setSubject(byte[]).

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public byte[] getSubjectKeyIdentifier()

Возвращает критерий subjectKeyIdentifier. X509Certificate должен содержать расширение SubjectKeyIdentifier с указанным значением. Если null, проверка subjectKeyIdentifier не будет выполняться.

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public byte[] getAuthorityKeyIdentifier()

Возвращает критерий authorityKeyIdentifier. X509Certificate должен содержать расширение AuthorityKeyIdentifier с указанным значением. Если null, проверка authorityKeyIdentifier не будет выполняться.

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public Date getCertificateValid()

Возвращает критерий certificateValid. Указанная дата должна находиться в пределах периода действия сертификата для X509Certificate. Если null, проверка certificateValid не будет выполняться.

Обратите внимание, что возвращаемая Date клонируется для защиты от последующих изменений.

public Date getPrivateKeyValid()

Возвращает критерий privateKeyValid. Указанная дата должна находиться в пределах периода действия закрытого ключа для X509Certificate. Если null, проверка privateKeyValid не будет выполняться.

Обратите внимание, что возвращаемая Date клонируется для защиты от последующих изменений.

public String getSubjectPublicKeyAlgID()

Возвращает критерий subjectPublicKeyAlgID. X509Certificate должен содержать открытый ключ получателя с указанным алгоритмом. Если null, проверка subjectPublicKeyAlgID не будет выполняться.

public PublicKey getSubjectPublicKey()

Возвращает критерий subjectPublicKey. Сертификат X509Certificate должен содержать указанный открытый ключ субъекта. Если null, проверка subjectPublicKey не будет выполнена.

public boolean[] getKeyUsage()

Возвращает критерий keyUsage. Сертификат X509Certificate должен разрешать указанные значения keyUsage. Если null, проверка keyUsage не будет выполнена.

Обратите внимание, что возвращаемый массив boolean копируется для защиты от последующих изменений.

public Set<String> getExtendedKeyUsage()

Возвращает критерий extendedKeyUsage. Сертификат X509Certificate должен разрешать указанные цели использования ключа в расширении extended key usage. Если возвращаемое keyPurposeSet пустое или null, проверка extendedKeyUsage не будет выполнена. Обратите внимание, что сертификат X509Certificate, у которого отсутствует расширение extendedKeyUsage, неявно разрешает все цели использования ключа.

public boolean getMatchAllSubjectAltNames()

Указывает, должен ли сертификат X509Certificate содержать все или хотя бы один из subjectAlternativeNames, указанных в методах setSubjectAlternativeNames или addSubjectAlternativeName. Если true, сертификат X509Certificate должен содержать все указанные альтернативные имена субъекта. Если false, сертификат X509Certificate должен содержать как минимум одно из указанных альтернативных имён субъекта.

public Collection<List<?>> getSubjectAlternativeNames()

Возвращает копию критерия subjectAlternativeNames. Сертификат X509Certificate должен содержать все или как минимум одно из указанных альтернативных имён субъекта, в зависимости от значения флага matchAllNames (см. getMatchAllSubjectAltNames). Если возвращаемое значение null, проверка subjectAlternativeNames не будет выполнена.

Если возвращаемое значение не null, это Collection с одной записью для каждого имени, которое должно быть включено в критерий альтернативных имён субъекта. Каждая запись — это List, первая запись которой — Integer (тип имени, 0-8), а вторая — String или массив байтов (само имя, в строчном или ASN.1 DER-кодированном формате соответственно). Может быть несколько имён одного типа. Обратите внимание, что возвращаемое Collection может содержать дубликаты имён (одинаковое имя и тип имени).

Каждое альтернативное имя субъекта в Collection может быть указано либо как String либо как ASN.1-кодированный массив байтов. Более подробную информацию о используемых форматах см. в addSubjectAlternativeName(int type, String name) и addSubjectAlternativeName(int type, byte [] name).

Обратите внимание, что выполняется глубокая копия Collection для защиты от последующих изменений.

public byte[] getNameConstraints()

Возвращает критерий name constraints. Сертификат X509Certificate должен иметь имена субъекта и альтернативные имена субъекта, которые соответствуют указанным ограничениям имён.

Ограничения имён возвращаются в виде массива байтов. Этот массив байтов содержит DER-кодированную форму ограничений имён, как они появляются в структуре NameConstraints, определённой в RFC 5280 и X.509. ASN.1-нотация для этой структуры приведена в документации для setNameConstraints(byte [] bytes).

Обратите внимание, что возвращаемый массив байтов копируется для защиты от последующих изменений.

public int getBasicConstraints()

Возвращает ограничение basic constraints. Если значение больше или равно нулю, сертификат X509Certificates должен включать расширение basicConstraints с pathLen по крайней мере этого значения. Если значение равно -2, принимаются только сертификаты конечных сущностей. Если значение равно -1, проверка basicConstraints не выполняется.

public Set<String> getPolicy()

Возвращает критерий политики. Сертификат X509Certificate должен включать как минимум одну из указанных политик в своём расширении certificate policies. Если возвращаемое Set пустое, тогда сертификат X509Certificate должен включать как минимум какую-то указанную политику в своем расширении certificate policies. Если возвращаемое Set null, проверка политики не будет выполнена.

public Collection<List<?>> getPathToNames()

Возвращает копию критерия pathToNames. Сертификат X509Certificate не должен включать ограничения имён, которые запрещали бы построение пути к указанным именам. Если возвращаемое значение null, проверка pathToNames не будет выполнена.

Если возвращаемое значение не null, это Collection с одной записью для каждого имени, которое должно быть включено в критерий pathToNames. Каждая запись — это List, первая запись которой — Integer (тип имени, 0-8), а вторая — String или массив байтов (само имя, в строчном или ASN.1 DER-кодированном формате соответственно). Может быть несколько имён одного типа. Обратите внимание, что возвращаемое Collection может содержать дубликаты имён (одинаковое имя и тип имени).

Каждое имя в Collection может быть указано либо как String либо как ASN.1-кодированный массив байтов. Более подробную информацию о используемых форматах см. в addPathToName(int type, String name) и addPathToName(int type, byte [] name).

Обратите внимание, что выполняется глубокая копия Collection для защиты от последующих изменений.

public String toString()

Возвращает удобочитаемое представление CertSelector.

public boolean match(Certificate cert)

Определяет, должен ли быть выбран сертификат Certificate.

public Object clone()

Возвращает копию этого объекта.