jarsigner验证只使用可信证书？

我注意到它在读取的keytool文档中 “jarsigner [...]检查该证书的公钥是否”可信“，即包含在指定的密钥库中。” 而jarsigner手册页指出 “验证[...]”时不需要密钥库，并且该实用程序将始终根据随jar提供的证书进行验证。 在我看来它会破坏目的的方式，因为它只会证明罐子自签署以来没有被改变，但不是由一些特定的权威/供应商签署。 如果用于签署jar的证书在运行时系统上未知/可信，是否有某种方法可以使验证失败？ 或者我必须使用脚本来调用     jarsigner -verify -verbose -keystore ... 并解析输出以查看本地（运行时）密钥库中是否有签名证书的条目？ 困惑， 彼得