一个安全相关的问题，欢迎参与讨论

Question

使用https ，本身就是为了加强安全，包括鉴别，授权，加密，防拒认等，你所担心的客户问题应该说已经解决了。通常的ssl是向用户提供服务器证书，便服务器变得可信。如果要验证客户身份，那么客户要向服务器提供证书。我不清楚https里可否这么做，我做ldap服务器的时候是可以要求用户提供证书的。　　这方面原理比较简单，可以参看csdn有关pki 的内容

Answer 1

嘿嘿～～私钥可以保存在windows的专用区域内，如果你不放心，可以象我一样把私钥存在usb-key或者ic上，随身带，极安全。usbkey上还有密码保护

Answer 2

如果使用J2SDK工具生成的数字证书的话，私钥在生成的密钥库中，和数字证书分离的

Answer 3

回ben。密钥真正比较安全的情况是，私钥由硬件自动生成，存在可移动设备上不可以导出并受密码保护。存在计算机硬盘安全区的尚不安全，更不说是密钥库了，密钥库在安全要求不高的情况下使用。