需要客户端身份验证的服务器将发送可接受的证书类型列表，以及可能的可接受的CA列表。默认情况下，您的Java客户端然后应用以下算法：
- 对于服务器接受的每种证书类型（RSA，DSA，EC），在密钥库中查找使用指定算法生成的所有公钥/私钥对
- 如果服务器发送了可接受的CA列表，请删除其证书链中列表中不包含任何CA的所有密钥对。
- 如果剩余至少一对密钥对，请选择与第一个对应的私钥；否则，请返回到步骤1以获取下一个密钥类型。
客户端证书选择算法未在RFC
5246中指定，但是Java的简单默认实现似乎是合理的，如果EJP指出将来可能会进行更改。特别地，“第一个”是非常随机的-
凭据当前存储在中
Map，因此它将取决于条目集的迭代顺序。而且，这些
KeyManager实现是可插入的，并且OpenJDK提供了一个“
NewSun”实现，该实现通过传递security属性来激活
ssl.KeyManagerFactory.algorithm=NewSunX509。第二个步骤还将考虑客户端证书的keyUsage和extendedKeyUsage属性，以及有效期。
如果您需要保证从可能的列表中发送的证书，并且发现默认行为对您不利，那么最好的选择是手动创建一个单项密钥库，并使用它来初始化
SSLContext或编写您的证书。自己
X509KeyManager做你想要做的事情
chooseClientAlias，例如在回答这个问题或这个问题时。
