Класс X509CertSelector

public X509CertSelector()

Создаёт X509CertSelector. Изначально критерии не заданы, поэтому любой X509Certificate будет соответствовать.

public void setCertificate(X509Certificate cert)

Устанавливает критерий certificateEquals. Указанный X509Certificate должен быть равен X509Certificate , переданному в метод match. Если null, то эта проверка не применяется.

Этот метод особенно полезен, когда необходимо сопоставить один сертификат. Хотя другие критерии могут быть указаны совместно с критерием certificateEquals, это обычно непрактично или не требуется.

public void setSerialNumber(BigInteger serial)

Устанавливает критерий serialNumber. Указанный серийный номер должен соответствовать серийному номеру сертификата в X509Certificate. Если null, то подойдет любой серийный номер сертификата.

public void setIssuer(X500Principal issuer)

Устанавливает критерий issuer. Указанное имя должен совпадать с именем издателя в X509Certificate. Если null, подойдет любое имя издателя.

@Deprecated(since="16") public void setIssuer(String issuerDN) throws IOException

Устанавливает критерий issuer. Указанное имя должно совпадать с именем издателя в X509Certificate. Если null, подойдет любое имя издателя.

Если issuerDN не null, оно должно содержать имя, в формате RFC 2253.

public void setIssuer(byte[] issuerDN) throws IOException

Устанавливает критерий issuer. Указанное имя должно совпадать с именем издателя в X509Certificate. Если null указано, то критерий издателя отключен, и подойдет любое имя издателя.

Если issuerDN не null, оно должно содержать одно кодированное в DER имя, как определено в X.501. ASN.1 обозначение этой структуры:

 Name ::= CHOICE {
   RDNSequence }

 RDNSequence ::= SEQUENCE OF RelativeDistinguishedName

 RelativeDistinguishedName ::=
   SET SIZE (1 .. MAX) OF AttributeTypeAndValue

 AttributeTypeAndValue ::= SEQUENCE {
   type     AttributeType,
   value    AttributeValue }

 AttributeType ::= OBJECT IDENTIFIER

 AttributeValue ::= ANY DEFINED BY AttributeType
 ....
 DirectoryString ::= CHOICE {
       teletexString           TeletexString (SIZE (1..MAX)),
       printableString         PrintableString (SIZE (1..MAX)),
       universalString         UniversalString (SIZE (1..MAX)),
       utf8String              UTF8String (SIZE (1.. MAX)),
       bmpString               BMPString (SIZE (1..MAX)) }
 

Обратите внимание, что массив байтов, указанный здесь, клонируется для защиты от последующих изменений.

public void setSubject(X500Principal subject)

Устанавливает критерий subject. Указанное имя должно совпадать с именем субъекта в X509Certificate. Если null, подойдет любое имя субъекта.

@Deprecated(since="16") public void setSubject(String subjectDN) throws IOException

Устанавливает критерий subject. Указанное имя должно совпадать с именем субъекта в X509Certificate. Если null, подойдет любое имя субъекта.

Если subjectDN не null, оно должно содержать имя, в формате RFC 2253.

public void setSubject(byte[] subjectDN) throws IOException

Устанавливает критерий subject. Указанное имя должно совпадать с именем субъекта в X509Certificate. Если null, подойдет любое имя субъекта.

Если subjectDN не null, оно должно содержать одно DER-кодированное имя, как определено в X.501. Для ASN.1 обозначения этой структуры, см. setIssuer(byte[]).

public void setSubjectKeyIdentifier(byte[] subjectKeyID)

Устанавливает критерий subjectKeyIdentifier. X509Certificate должен содержать расширение SubjectKeyIdentifier, содержимое которого совпадает с указанным значением критерия. Если значение критерия null, проверка subjectKeyIdentifier не будет выполнена.

Если subjectKeyID не null, оно должно содержать одно DER-кодированное значение, соответствующее содержимому значения расширения (без учёта идентификатора объекта, битовой установки критичности и обертывающей OCTET STRING) для расширения SubjectKeyIdentifier. ASN.1 обозначение этой структуры:

 SubjectKeyIdentifier ::= KeyIdentifier

 KeyIdentifier ::= OCTET STRING
 

Поскольку формат идентификаторов ключей субъекта не регламентирован ни одним стандартом, идентификаторы ключей субъекта не анализируются X509CertSelector. Вместо этого значения сравниваются побайтово.

Обратите внимание, что массив байтов, предоставленный здесь, клонируется, чтобы защитить от последующих изменений.

public void setAuthorityKeyIdentifier(byte[] authorityKeyID)

Устанавливает критерий authorityKeyIdentifier. X509Certificate должен содержать расширение AuthorityKeyIdentifier, содержимое которого совпадает с указанным значением критерия. Если значение критерия null, проверка authorityKeyIdentifier не будет выполнена.

Если authorityKeyID не null, оно должно содержать одно DER-кодированное значение, соответствующее содержимому значения расширения (без учёта идентификатора объекта, битовой установки критичности и обертывающей OCTET STRING) для расширения AuthorityKeyIdentifier. ASN.1 обозначение этой структуры:

 AuthorityKeyIdentifier ::= SEQUENCE {
    keyIdentifier             [0] KeyIdentifier           OPTIONAL,
    authorityCertIssuer       [1] GeneralNames            OPTIONAL,
    authorityCertSerialNumber [2] CertificateSerialNumber OPTIONAL  }

 KeyIdentifier ::= OCTET STRING
 

Идентификаторы ключей авторитета не анализируются X509CertSelector. Вместо этого значения сравниваются побайтово.

Когда поле keyIdentifier в AuthorityKeyIdentifier заполнено, значение обычно берется из расширения SubjectKeyIdentifier в сертификате издателя. Обратите внимание, однако, что результат X509Certificate.getExtensionValue(<SubjectKeyIdentifier Object Identifier>) для сертификата издателя НЕ может быть использован непосредственно в качестве входных данных для setAuthorityKeyIdentifier. Это связано с тем, что SubjectKeyIdentifier содержит только KeyIdentifier OCTET STRING, а не SEQUENCE из KeyIdentifier, GeneralNames и CertificateSerialNumber. Для использования значения расширения сертификата издателя в расширении SubjectKeyIdentifier потребуется извлечь значение вложенного KeyIdentifier OCTET STRING, затем DER-кодировать этот OCTET STRING внутри SEQUENCE. Для более подробной информации о SubjectKeyIdentifier, см. setSubjectKeyIdentifier(byte[] subjectKeyID).

Обратите также внимание, что массив байтов, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setCertificateValid(Date certValid)

Устанавливает критерий certificateValid. Указанная дата должна находиться в пределах срока действия сертификата для X509Certificate. Если null, проверка certificateValid не будет выполнена.

Обратите внимание, что Date предоставляемый здесь, клонируется для защиты от последующих изменений.

public void setPrivateKeyValid(Date privateKeyValid)

Устанавливает критерий privateKeyValid. Указанная дата должна находиться в пределах срока действия закрытого ключа для X509Certificate. Если null, проверка privateKeyValid не будет выполнена.

Обратите внимание, что Date предоставляемый здесь, клонируется для защиты от последующих изменений.

public void setSubjectPublicKeyAlgID(String oid) throws IOException

Устанавливает критерий subjectPublicKeyAlgID. X509Certificate должен содержать открытый ключ субъекта с указанным алгоритмом. Если null, проверка subjectPublicKeyAlgID не будет выполнена.

public void setSubjectPublicKey(PublicKey key)

Устанавливает критерий subjectPublicKey. X509Certificate должен содержать указанный открытый ключ субъекта. Если null, проверка subjectPublicKey не будет выполнена.

public void setSubjectPublicKey(byte[] key) throws IOException

Устанавливает критерий subjectPublicKey. X509Certificate должен содержать указанный открытый ключ субъекта. Если null, проверка subjectPublicKey не будет выполнена.

Поскольку этот метод позволяет указать открытый ключ в виде массива байтов, он может использоваться для неизвестных типов ключей.

Если key не null, он должен содержать одну закодированную в DER структуру SubjectPublicKeyInfo, как определено в X.509. ASN.1 обозначение этой структуры таково.

 SubjectPublicKeyInfo  ::=  SEQUENCE  {
   algorithm            AlgorithmIdentifier,
   subjectPublicKey     BIT STRING  }

 AlgorithmIdentifier  ::=  SEQUENCE  {
   algorithm               OBJECT IDENTIFIER,
   parameters              ANY DEFINED BY algorithm OPTIONAL  }
                              -- contains a value of the type
                              -- registered for use with the
                              -- algorithm object identifier value
 

Обратите внимание, что массив байтов, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setKeyUsage(boolean[] keyUsage)

Устанавливает критерий keyUsage. X509Certificate должен допускать указанные значения keyUsage. Если null, проверка keyUsage не будет выполнена. Обратите внимание, что X509Certificate без расширения keyUsage неявно разрешает все значения keyUsage.

Обратите внимание, что массив boolean, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setExtendedKeyUsage(Set<String> keyPurposeSet) throws IOException

Устанавливает критерий extendedKeyUsage. X509Certificate должен разрешать указанные цели использования ключа в его расширении extended key usage. Если keyPurposeSet пусто или null, проверка extendedKeyUsage не будет выполнена. Обратите внимание, что X509Certificate без расширения extendedKeyUsage неявно разрешает все цели использования ключа.

Обратите внимание, что Set клонируется для защиты от последующих изменений.

public void setMatchAllSubjectAltNames(boolean matchAllNames)

Включает/выключает соответствие всем subjectAlternativeNames, указанным в методах setSubjectAlternativeNames или addSubjectAlternativeName. При включении X509Certificate должен содержать все указанные альтернативные имена субъекта. При отключении X509Certificate должен содержать по крайней мере одно из указанных альтернативных имен субъекта.

Флаг matchAllNames по умолчанию true.

public void setSubjectAlternativeNames(Collection<List<?>> names) throws IOException

Устанавливает критерий subjectAlternativeNames. X509Certificate должен содержать все или хотя бы одно из указанных subjectAlternativeNames, в зависимости от значения флага matchAllNames (см. setMatchAllSubjectAltNames).

Этот метод позволяет вызывающему коду указать весь набор альтернативных имен субъекта для критерия subjectAlternativeNames за один вызов. Указанное значение заменяет предыдущее значение для критерия subjectAlternativeNames.

Параметр names (если не null) является Collection с одной записью для каждого имени, которое должно быть включено в критерий альтернативных имен субъекта. Каждая запись — это List, в которой первая запись — это Integer (тип имени, 0-8), а вторая запись — это String или массив байтов (само имя в строковом или кодированном в ASN.1 DER формате соответственно). Может быть несколько имен одного типа. Если null предоставлено как значение для этого аргумента, проверка subjectAlternativeNames не будет выполнена.

Каждое альтернативное имя субъекта в Collection может быть указано либо как String, либо как массив байтов в кодировке ASN.1. Подробнее о используемых форматах см. addSubjectAlternativeName(int type, String name) и addSubjectAlternativeName(int type, byte [] name).

Примечание: для отличительных имен укажите форму массива байтов, а не строковую. См. примечание в addSubjectAlternativeName(int, String) для получения дополнительной информации.

Обратите внимание, что параметр names может содержать дублируемые имена (одно имя и тип имени), но они могут быть удалены из Collection имен, возвращаемых методом getSubjectAlternativeNames.

Обратите внимание, что выполняется глубокая копия Collection для защиты от последующих изменений.

public void addSubjectAlternativeName(int type, String name) throws IOException

Добавляет имя в критерий subjectAlternativeNames. Критерий X509Certificate должен содержать все или хотя бы одно из указанных subjectAlternativeNames, в зависимости от значения флага matchAllNames (см. setMatchAllSubjectAltNames).

Этот метод позволяет вызывающей стороне добавить имя в множество альтернативных имён субъекта. Указанное имя добавляется к любому предыдущему значению для критерия subjectAlternativeNames. Если указанное имя является дубликатом, оно может быть проигнорировано.

Имя предоставляется в строковом формате. Имена RFC 822, DNS и URI используют общепринятые строковые форматы для этих типов (с учётом ограничений, указанных в RFC 5280). Имена адресов IPv4 предоставляются в формате с точками. Имена адресов OID представляются в виде последовательности неотрицательных целых чисел, разделённых точками. Имена каталога (различительные имена) предоставляются в формате RFC 2253. Для других имён, имён X.400, имён сторон EDI, имён адресов IPv6 или любых других типов имён не определён стандартный строковый формат. Они должны быть указаны с помощью метода addSubjectAlternativeName(int type, byte [] name).

Примечание: для различительных имён используйте addSubjectAlternativeName(int, byte[]) вместо этого. На этот метод не следует полагаться, так как он может не соответствовать некоторым сертификатам из-за потери информации об кодировании в строковой форме RFC 2253 некоторых различительных имён.

public void addSubjectAlternativeName(int type, byte[] name) throws IOException

Добавляет имя в критерий subjectAlternativeNames. Критерий X509Certificate должен содержать все или хотя бы одно из указанных subjectAlternativeNames, в зависимости от значения флага matchAllNames (см. setMatchAllSubjectAltNames).

Этот метод позволяет вызывающей стороне добавить имя в множество альтернативных имён субъекта. Указанное имя добавляется к любому предыдущему значению для критерия subjectAlternativeNames. Если указанное имя является дубликатом, оно может быть проигнорировано.

Имя предоставляется как массив байтов. Этот массив байтов должен содержать закодированное с помощью DER имя, как оно отображается в структуре GeneralName, определённой в RFC 5280 и X.509. Кодированный массив байтов должен содержать только закодированное значение имени и не должен включать метку, связанную с именем в структуре GeneralName. Определение ASN.1 этой структуры приведено ниже.

  GeneralName ::= CHOICE {
       otherName                       [0]     OtherName,
       rfc822Name                      [1]     IA5String,
       dNSName                         [2]     IA5String,
       x400Address                     [3]     ORAddress,
       directoryName                   [4]     Name,
       ediPartyName                    [5]     EDIPartyName,
       uniformResourceIdentifier       [6]     IA5String,
       iPAddress                       [7]     OCTET STRING,
       registeredID                    [8]     OBJECT IDENTIFIER}
 

Обратите внимание, что массив байтов, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setNameConstraints(byte[] bytes) throws IOException

Устанавливает критерий ограничений имён. Критерий X509Certificate должен иметь субъект и альтернативные имена субъекта, которые соответствуют указанным ограничениям имён.

Ограничения имён задаются как массив байтов. Этот массив байтов должен содержать DER закодированную форму ограничений имён, как они отображаются в структуре NameConstraints, определённой в RFC 5280 и X.509. Определение ASN.1 этой структуры приведено ниже.

  NameConstraints ::= SEQUENCE {
       permittedSubtrees       [0]     GeneralSubtrees OPTIONAL,
       excludedSubtrees        [1]     GeneralSubtrees OPTIONAL }

  GeneralSubtrees ::= SEQUENCE SIZE (1..MAX) OF GeneralSubtree

  GeneralSubtree ::= SEQUENCE {
       base                    GeneralName,
       minimum         [0]     BaseDistance DEFAULT 0,
       maximum         [1]     BaseDistance OPTIONAL }

  BaseDistance ::= INTEGER (0..MAX)

  GeneralName ::= CHOICE {
       otherName                       [0]     OtherName,
       rfc822Name                      [1]     IA5String,
       dNSName                         [2]     IA5String,
       x400Address                     [3]     ORAddress,
       directoryName                   [4]     Name,
       ediPartyName                    [5]     EDIPartyName,
       uniformResourceIdentifier       [6]     IA5String,
       iPAddress                       [7]     OCTET STRING,
       registeredID                    [8]     OBJECT IDENTIFIER}
 

Обратите внимание, что массив байтов, предоставленный здесь, клонируется для защиты от последующих изменений.

public void setBasicConstraints(int minMaxPathLen)

Устанавливает ограничение базовых ограничений. Если значение больше или равно нулю, X509Certificates должно включать расширение basicConstraints с pathLen, по меньшей мере, равным этому значению. Если значение равно -2, принимаются только сертификаты конечных сущностей. Если значение равно -1, проверка не выполняется.

Это ограничение полезно при построении сертификационного пути вперёд (от цели к якорю доверия). Если частичный путь был построен, любой кандидатский сертификат должен иметь значение maxPathLen, большее или равное числу сертификатов в частичном пути.

public void setPolicy(Set<String> certPolicySet) throws IOException

Устанавливает ограничение политики. X509Certificate должен содержать как минимум одну из указанных политик в расширении certificate policies. Если certPolicySet пусто, то X509Certificate должен содержать как минимум одну указанную политику в расширении certificate policies. Если certPolicySet является null, проверка политики не будет выполнена.

Обратите внимание, что Set клонируется для защиты от последующих изменений.

public void setPathToNames(Collection<List<?>> names) throws IOException

Устанавливает критерий pathToNames. X509Certificate не должен включать ограничения имён, которые бы запретили построение пути к указанным именам.

Этот метод позволяет вызывающей стороне указать полное множество имён, которые ограничения имён X509Certificates должны допускать. Указанное значение заменяет предыдущее значение для критерия pathToNames.

Это ограничение полезно при построении сертификационного пути вперёд (от цели к якорю доверия). Если частичный путь был построен, любой кандидатский сертификат не должен включать ограничения имён, которые запрещали бы построение пути к любому из имён в частичном пути.

Параметр names (если не null) — коллекция с одним элементом для каждого имени, которое должно быть включено в критерий pathToNames. Каждый элемент — пара, содержащая Integer (тип имени, 0-8) и String или массив байтов (имя в строковом или ASN.1 DER закодированном формате соответственно). Может быть несколько имён одного типа. Если null используется в качестве значения для этого аргумента, проверка pathToNames не будет выполняться.

Каждое имя в Collection может быть указано либо как строка, либо как ASN.1 закодированный массив байтов. Более подробная информация о используемых форматах см. в addPathToName(int type, String name) и addPathToName(int type, byte [] name).

Примечание: для различительных имён используйте массив байтов вместо строкового формата. См. примечание в addPathToName(int, String) для получения дополнительной информации.

Параметр names может содержать дублирующиеся имена (одинаковое имя и тип имени), но они могут быть удалены из множества имён, возвращаемых методом getPathToNames.

Обратите внимание, что выполняется глубокая копия Collection для защиты от последующих изменений.

public void addPathToName(int type, String name) throws IOException

Добавляет имя в критерий pathToNames. X509Certificate не должно включать ограничения имён, которые бы запретили построение пути к указанному имени.

Этот метод позволяет вызывающей стороне добавить имя в множество имён, которые ограничения имён X509Certificates должны допускать. Указанное имя добавляется к любому предыдущему значению для критерия pathToNames. Если имя является дубликатом, оно может быть проигнорировано.

Имя предоставляется в строковом формате. Имена RFC 822, DNS и URI используют общепринятые строковые форматы для этих типов (с учётом ограничений, указанных в RFC 5280). Имена адресов IPv4 предоставляются в формате с точками. Имена адресов OID представляются в виде последовательности неотрицательных целых чисел, разделённых точками. Имена каталога (различительные имена) предоставляются в формате RFC 2253. Для других имён, имён X.400, имён сторон EDI, имён адресов IPv6 или любых других типов имён не определён стандартный строковый формат. Они должны быть указаны с помощью метода addPathToName(int type, byte [] name).

Примечание: для различительных имён используйте addPathToName(int, byte[]) вместо этого. На этот метод не следует полагаться, так как он может не соответствовать некоторым сертификатам из-за потери информации об кодировании в строковой форме RFC 2253 некоторых различительных имён.

public void addPathToName(int type, byte[] name) throws IOException

Добавляет имя в критерий pathToNames. Имя X509Certificate не должно включать ограничений, которые препятствуют созданию пути к указанному имени.

Этот метод позволяет вызывающей стороне добавить имя в множество имён, которые ограничения на имя X509Certificates должны разрешать. Указанное имя добавляется к любому предыдущему значению для критерия pathToNames. Если имя является дубликатом, оно может быть проигнорировано.

Имя предоставляется в виде массива байтов. Этот массив байтов должен содержать закодированное в DER имя, как оно появляется в структуре GeneralName, определённой в RFC 5280 и X.509. Определение ASN.1 этой структуры приведено в документации для addSubjectAlternativeName(int type, byte [] name).

Обратите внимание, что предоставленный массив байтов клонируется для защиты от последующих изменений.

public X509Certificate getCertificate()

Возвращает критерий certificateEquals. Указанное X509Certificate должно быть равно X509Certificate , переданному методу match. Если null, эта проверка не применяется.

public BigInteger getSerialNumber()

Возвращает критерий serialNumber. Указанный номер сертификата должен совпадать с номером сертификата в X509Certificate. Если null, любой номер сертификата подойдёт.

public X500Principal getIssuer()

Возвращает критерий издателя в виде X500Principal. Это имя каталога должно соответствовать имени каталога издателя в X509Certificate. Если null, критерий издателя отключён и любое имя каталога издателя подойдёт.

@Deprecated(since="16") public String getIssuerAsString()

Возвращает критерий издателя как String. Это имя каталога должно соответствовать имени каталога издателя в X509Certificate. Если null, критерий издателя отключён и любое имя каталога издателя подойдёт.

Если возвращаемое значение не null, это имя каталога в формате RFC 2253.

public byte[] getIssuerAsBytes() throws IOException

Возвращает критерий издателя как массив байтов. Это имя каталога должно соответствовать имени каталога издателя в X509Certificate. Если null, критерий издателя отключён и любое имя каталога издателя подойдёт.

Если возвращаемое значение не null, это массив байтов, содержащий одно закодированное в DER имя каталога, как определено в X.501. Нотация ASN.1 этой структуры приведена в документации для setIssuer(byte[]).

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public X500Principal getSubject()

Возвращает критерий субъекта как X500Principal. Это имя каталога должно соответствовать имени каталога субъекта в X509Certificate. Если null, критерий субъекта отключён и любое имя каталога субъекта подойдёт.

@Deprecated(since="16") public String getSubjectAsString()

Возвращает критерий субъекта как String. Это имя каталога должно соответствовать имени каталога субъекта в X509Certificate. Если null, критерий субъекта отключён и любое имя каталога субъекта подойдёт.

Если возвращаемое значение не null, это имя каталога в формате RFC 2253.

public byte[] getSubjectAsBytes() throws IOException

Возвращает критерий субъекта как массив байтов. Это имя каталога должно соответствовать имени каталога субъекта в X509Certificate. Если null, критерий субъекта отключён и любое имя каталога субъекта подойдёт.

Если возвращаемое значение не null, это массив байтов, содержащий одно закодированное в DER имя каталога, как определено в X.501. Нотация ASN.1 этой структуры приведена в документации для setSubject(byte[]).

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public byte[] getSubjectKeyIdentifier()

Возвращает критерий subjectKeyIdentifier. X509Certificate должен содержать расширение SubjectKeyIdentifier со значением. Если null, проверка subjectKeyIdentifier не будет выполнена.

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public byte[] getAuthorityKeyIdentifier()

Возвращает критерий authorityKeyIdentifier. X509Certificate должен содержать расширение AuthorityKeyIdentifier со значением. Если null, проверка authorityKeyIdentifier не будет выполнена.

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public Date getCertificateValid()

Возвращает критерий certificateValid. Указанная дата должна попадать в период действия сертификата для X509Certificate. Если null, проверка certificateValid не будет выполнена.

Обратите внимание, что возвращаемая Date дата клонируется для защиты от последующих изменений.

public Date getPrivateKeyValid()

Возвращает критерий privateKeyValid. Указанная дата должна попадать в период действия закрытого ключа для X509Certificate. Если null, проверка privateKeyValid не будет выполнена.

Обратите внимание, что возвращаемая Date дата клонируется для защиты от последующих изменений.

public String getSubjectPublicKeyAlgID()

Возвращает критерий subjectPublicKeyAlgID. X509Certificate должен содержать открытый ключ субъекта с указанным алгоритмом. Если null, проверка subjectPublicKeyAlgID не будет выполнена.

public PublicKey getSubjectPublicKey()

Возвращает критерий subjectPublicKey. Критерий X509Certificate должен содержать указанный открытый ключ субъекта. Если null, проверка subjectPublicKey не будет выполнена.

public boolean[] getKeyUsage()

Возвращает критерий keyUsage. Критерий X509Certificate должен допускать указанные значения keyUsage. Если null, проверка keyUsage не будет выполнена.

Обратите внимание, что возвращаемый массив boolean клонируется для защиты от последующих изменений.

public Set<String> getExtendedKeyUsage()

Возвращает критерий extendedKeyUsage. Критерий X509Certificate должен допускать указанные цели ключа в расширении extended key usage. Если возвращаемое keyPurposeSet пустое или null, проверка extendedKeyUsage не будет выполнена. Обратите внимание, что сертификат X509Certificate, у которого отсутствует расширение extendedKeyUsage, подразумевает разрешение всех целей ключа.

public boolean getMatchAllSubjectAltNames()

Указывает, должен ли X509Certificate содержать все или хотя бы один из указанных в методах setSubjectAlternativeNames или addSubjectAlternativeName subjectAlternativeNames. Если true, X509Certificate должен содержать все указанные альтернативные имена субъекта. Если false, X509Certificate должен содержать по крайней мере одно из указанных альтернативных имен субъекта.

public Collection<List<?>> getSubjectAlternativeNames()

Возвращает копию критерия subjectAlternativeNames. Критерий X509Certificate должен содержать все или хотя бы одно из указанных subjectAlternativeNames, в зависимости от значения флага matchAllNames (см. getMatchAllSubjectAltNames). Если возвращаемое значение null, проверка subjectAlternativeNames не будет выполнена.

Если возвращаемое значение не null, это Collection с одной записью для каждого имени, которое должно быть включено в критерий альтернативных имен субъекта. Каждая запись — это List, где первая запись — это Integer (тип имени, 0-8), а вторая — String или массив байтов (имя в строковом или ASN.1 DER-кодированном формате соответственно). Может быть несколько имен одного типа. Обратите внимание, что возвращаемое Collection может содержать дублируемые имена (одинаковое имя и тип имени).

Каждое альтернативное имя субъекта в Collection может быть указано как String или как закодированный в ASN.1 массив байтов. Более подробную информацию о используемых форматах см. в addSubjectAlternativeName(int type, String name) и addSubjectAlternativeName(int type, byte [] name).

Обратите внимание, что выполняется глубокая копия Collection для защиты от последующих изменений.

public byte[] getNameConstraints()

Возвращает критерий name constraints. Критерий X509Certificate должен иметь имена субъекта и альтернативные имена субъекта, которые соответствуют указанным ограничениям имен.

Ограничения имен возвращаются в виде массива байтов. Этот массив байтов содержит DER-закодированную форму ограничений имен, как они представлены в структуре NameConstraints, определенной в RFC 5280 и X.509. Нотация ASN.1 для этой структуры приводится в документации для setNameConstraints(byte [] bytes).

Обратите внимание, что возвращаемый массив байтов клонируется для защиты от последующих изменений.

public int getBasicConstraints()

Возвращает ограничение basic constraints. Если значение больше или равно нулю, X509Certificates должен включать расширение basicConstraints с pathLen по крайней мере этого значения. Если значение равно -2, принимаются только сертификаты конечных объектов. Если значение равно -1, проверка basicConstraints не выполняется.

public Set<String> getPolicy()

Возвращает критерий policy. Критерий X509Certificate должен включать по крайней мере одну из указанных политик в своем расширении политики сертификата. Если возвращаемое Set пустое, тогда X509Certificate должен включать по крайней мере какую-то указанную политику в расширении политики сертификата. Если возвращаемое Set null, проверка политики не будет выполнена.

public Collection<List<?>> getPathToNames()

Возвращает копию критерия pathToNames. Критерий X509Certificate не должен включать ограничения имен, которые запретили бы построение пути к указанным именам. Если возвращаемое значение null, проверка pathToNames не будет выполнена.

Если возвращаемое значение не null, это Collection с одной записью для каждого имени, которое должно быть включено в критерий pathToNames. Каждая запись — это List, где первая запись — это Integer (тип имени, 0-8), а вторая — String или массив байтов (имя в строковом или ASN.1 DER-кодированном формате, соответственно). Может быть несколько имен одного типа. Возвращаемое Collection может содержать дублируемые имена (одинаковое имя и тип имени).

Каждое имя в Collection может быть указано как String или как закодированный в ASN.1 массив байтов. Более подробную информацию о используемых форматах см. в addPathToName(int type, String name) и addPathToName(int type, byte [] name).

Обратите внимание, что выполняется глубокая копия Collection для защиты от последующих изменений.

public String toString()

Возвращает удобочитаемое представление CertSelector.

public boolean match(Certificate cert)

Определяет, должен ли быть выбран Certificate.

public Object clone()

Возвращает копию этого объекта.