验证匿名证书链
=======

为防止第三方伪造数据，端侧和云侧在对数据进行验签之前，必须先验证匿名证书链的正确性。端侧对匿名证书链的校验处理接口，请参考“[证书链校验器对象的创建和校验](https://developer.huawei.com/consumer/cn/doc/harmonyos-guides/create-verify-cerchainvalidator-object)”。云侧对匿名证书链的校验处理接口，请参考“[设备真实性证明](https://developer.huawei.com/consumer/cn/doc/harmonyos-guides/device-attestation)”的服务器端开发章节。

初始化证明会话时返回的匿名证书链包含三级证书，验证步骤如下：

1.  使用[Universal Keystore Kit](https://developer.huawei.com/consumer/cn/doc/harmonyos-guides/huks-overview)官网提供的根CA证书对匿名证书链的合法性进行校验。（[根CA证书下载地址](https://pki.consumer.huawei.com/ca/cer/Huawei_CBG_ECC_Device_Attestation_Root_CA.cer)）
    
    ![](https://contentcenter-vali-drcn.dbankcdn.cn/pvt_2/DeveloperAlliance_scene_100_1/6b/v3/GEUBjuukRmiYI9bzfFPmhw/note_3.0-zh-cn.png?HW-CC-KV=V1&HW-CC-Date=20260612T073410Z&HW-CC-Expire=86400&HW-CC-Sign=36A0647CBD48EF326C26F012017FF88641908F0E7547DA8CEC860C945C3D6D05)
    
    请勿在应用服务器中使用子CA证书对密钥证明证书链进行校验，子CA证书可能会因为有效期结束、证书被吊销等发生变化。
    
2.  解析三级证书获取应用公钥、AppID、密钥管理部件ID。
    
    1.  应用公钥直接从密钥证明证书的subjectPublicKeyInfo字段获取。
    2.  AppID从扩展字段“1.3.6.1.4.1.2011.2.376.2.1.3.1”获取。
    3.  密钥管理部件ID从扩展字段“1.3.6.1.4.1.2011.2.376.2.2.2.6”获取。
3.  检查三级证书的扩展字段是否符合预期：
    
    1.  密钥管理部件ID应为“0E01669E9CFF3848A9538568F1A483E3”。
    2.  AppID的值应为调用创建证明密钥接口的应用AppID。
    
    ![](https://contentcenter-vali-drcn.dbankcdn.cn/pvt_2/DeveloperAlliance_scene_100_1/ea/v3/Tvbu9y_8TAOhTQ0ZQ75fyQ/note_3.0-zh-cn.png?HW-CC-KV=V1&HW-CC-Date=20260612T073410Z&HW-CC-Expire=86400&HW-CC-Sign=E7B0CACF32C4B4ECE08A21493D79055FF6149D0E5B6E729142C09C068913CE76)
    
    “应用AppID”指的是HarmonyOS应用的ID，包含bundleName和签名证书公钥的哈希值。 获取应用AppID方法请参考“[bundleManager 模块](https://developer.huawei.com/consumer/cn/doc/harmonyos-references/js-apis-bundlemanager#bundlemanagergetbundleinfoforself-1)”。