X509Certificate 类是遵循 X.509 标准构建的公共密钥证书表示形式，在确保网络通信安全、验证身份等方面发挥着核心作用。本文将详细解读 X509Certificate 类中的关键成员变量与方法，揭示其在维护证书信息完整性和实现信任链构建过程中的功能与意义。
成员变量
serialVersionUID
serialVersionUID 是一个长整型变量，用于支持 Java 序列化机制。它作为类的唯一标识符，确保不同版本或环境中生成的 X509Certificate 实例能够正确地进行序列化与反序列化操作。
subjectX500Principal
subjectX500Principal 保存证书主体（Subject）的 X500Principal 对象。X500Principal 依据 Distinguished Name（DN）标准表示证书持有者的身份信息，如组织名、部门名、城市名、国家名以及 Common Name（CN，常用作用户名或主机名）。此变量提供了以标准化格式访问和操作主体身份信息的能力。
issuerX500Principal
issuerX500Principal 存储证书颁发者（Issuer）的 X500Principal 对象。与 subjectX500Principal 类似，它表示签发证书的实体的身份信息，通常是可信的证书颁发机构（CA）。通过该变量，可以便捷地获取并验证颁发者的权威身份。
方法
checkValidity()
checkValidity() 方法用于检查当前 X509Certificate 是否处于有效期内。此方法有两种重载形式：
checkValidity(): 检查证书是否在当前系统时间的有效范围内。checkValidity(Date date): 检查证书在指定日期date是否有效。若证书不在有效期内，会抛出CertificateExpiredException或CertificateNotYetValidException异常。
getVersion()
getVersion() 返回证书的版本号，通常是一个整数（如 1 表示 V1，3 表示 V3）。版本号反映了证书中包含的信息丰富程度及支持的扩展特性。
getSerialNumber()
getSerialNumber() 获取证书的序列号，这是一个唯一的标识符，由颁发者（CA）为每个颁发的证书分配。序列号结合颁发者信息有助于唯一确定一张证书。
getIssuerDN() & getIssuerX500Principal()
这两个方法均提供对证书颁发者身份信息的访问：
getIssuerDN()返回颁发者的 Distinguished Name（DN）字符串表示。
getIssuerX500Principal()返回颁发者的 X500Principal 对象，提供更丰富的操作接口。
getSubjectDN() & getSubjectX500Principal()
同样，这两个方法用于获取证书主体（Subject）的身份信息：
getSubjectDN()返回主体的 Distinguished Name（DN）字符串表示。getSubjectX500Principal()返回主体的 X500Principal 对象，便于进一步处理主体身份信息。
getNotBefore() & getNotAfter()
getNotBefore()返回证书生效的起始时间。getNotAfter()返回证书有效期的终止时间。
通过对比这两个时间点与当前（或指定）时间，可以判断证书是否处于有效期内。
getTBSCertificate()
getTBSCertificate() 返回证书的“证书主体”（To Be Signed Certificate），即除去签名部分的证书内容。它是证书被数字签名的基础数据。
getSignature()
getSignature() 提供证书数字签名的实际值。签名基于证书的 TBSCertificate 部分和颁发者的私钥计算得到，用于验证证书的完整性和颁发者的身份。
getSigAlgName(), getSigAlgOID(), getSigAlgParams()
这三个方法提供有关证书签名算法的信息：
getSigAlgName()返回签名算法的可读名称（如 “SHA256withRSA”）。getSigAlgOID()返回签名算法的 Object Identifier（OID），这是一种标准化的标识符。getSigAlgParams()返回签名算法的任何特定参数（可能为空）。
getIssuerUniqueID() & getSubjectUniqueID()
这两个方法分别返回证书颁发者和主体的唯一标识符（Unique ID）。这些标识符在某些情况下用于区分具有相同 DN 的不同实体，但并非所有证书都包含这些字段。
getKeyUsage()
getKeyUsage() 返回一个布尔数组，表示证书中公钥的预期用途。例如，数组中的元素可能指示公钥是否可用于数字签名、加密、密钥认证等。根据 X.509 规范，数组索引与特定用途的对应关系如下
- [0]: Digital Signature
- [2]: Key Encipherment
- [3]: Data Encipherment
- [4]: Key Agreement
- [5]: Key Cert Sign
- [6]: CRL Sign
- [7]: Encipher Only
- [8]: Decipher Only
getExtendedKeyUsage()
getExtendedKeyUsage() 返回一个 List<String>，列出证书扩展用途（Extended Key Usage，EKU）。EKU 指定公钥在特定应用协议（如 TLS Web Server Authentication、Email Protection 等）中的使用权限。
getBasicConstraints()
getBasicConstraints() 返回一个整数，表示证书是否代表一个 CA 及其下级 CA 的最大深度（如果适用）。正值表示证书为 CA 证书， 并指定了下级 CA 的最大深度；零表示证书为终端实体（非 CA）证书；负值表示该属性未定义。
getSubjectAlternativeNames() & getIssuerAlternativeNames()
这两个方法返回证书主体和颁发者的备用名称列表：
getSubjectAlternativeNames()提供证书主体除 DN 之外的其他识别方式，如 DNS 名称、电子邮件地址、IP 地址等。
getIssuerAlternativeNames()提供颁发者类似的备用识别信息。
verify()
verify(PublicKey key) 方法用于验证证书的数字签名。传入证书颁发者的公钥作为参数，方法执行后若无异常抛出，表明证书签名有效且颁发者身份可信。
总结起来，X509Certificate 类的成员变量与方法共同构成了一个完备的接口，用于访问、验证和操作证书的各种属性。理解和熟练运用这些特性，对于在实际项目中实现安全的 SSL/TLS 连接、代码签名、电子邮件加密等应用场景至关重要。
