Question

您好，我的应用程序已启用，并且正在使用“https”协议。 Google Play小组会发出以下警告。

“您在此电子邮件末尾列出的应用使用了不安全的应用   接口X509TrustManager的实现。具体来说，   实现时忽略所有SSL证书验证错误   建立与远程主机的HTTPS连接，从而使您的   应用程序容易受到中间人攻击。攻击者可以阅读   传输数据（如登录凭据）甚至更改数据   在HTTPS连接上传输。如果你有超过20个受影响   您帐户中的应用，请查看开发者控制台的完整信息   列表。

要正确处理SSL证书验证，请更改您的代码   自定义X509TrustManager接口的checkServerTrusted方法   无论何时提出CertificateException或IllegalArgumentException   服务器提供的证书不符合您的要求   期望。 Google Play将阻止发布任何新应用或   包含接口的不安全实现的更新   X509TrustManager“。

在我的项目中，我使用自定义http客户端来处理HTTPS而不是默认的httpClient。我的代码如下。

    public static HttpClient getNewHttpClient() {
            try
            {
                KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
                trustStore.load(null, null);

                MySSLSocketFactory sf = new MySSLSocketFactory(trustStore);
                sf.setHostnameVerifier(SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER);

                HttpParams params = new BasicHttpParams();
                HttpProtocolParams.setVersion(params, HttpVersion.HTTP_1_1);
                HttpProtocolParams.setContentCharset(params, HTTP.UTF_8);

                SchemeRegistry registry = new SchemeRegistry();
                registry.register(new Scheme("http", PlainSocketFactory.getSocketFactory(), 80));
                registry.register(new Scheme("https", sf, 443));

                ClientConnectionManager ccm = new ThreadSafeClientConnManager(params, registry);

                return new DefaultHttpClient(ccm, params);
            }
            catch (Exception e)
            {
                return new DefaultHttpClient();
            }
        }

public static class MySSLSocketFactory extends SSLSocketFactory {
        SSLContext sslContext = SSLContext.getInstance("TLS");

        public MySSLSocketFactory(KeyStore truststore) throws NoSuchAlgorithmException, KeyManagementException, KeyStoreException, UnrecoverableKeyException {
            super(truststore);

            TrustManager tm = new X509TrustManager() {
                public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException {
                }

                public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException {
                }

                public X509Certificate[] getAcceptedIssuers() {
                    return null;
                }
            };

            sslContext.init(null, new TrustManager[] { tm }, null);
        }

        @Override
        public Socket createSocket(Socket socket, String host, int port, boolean autoClose) throws IOException, UnknownHostException {
            return sslContext.getSocketFactory().createSocket(socket, host, port, autoClose);
        }

        @Override
        public Socket createSocket() throws IOException {
            return sslContext.getSocketFactory().createSocket();
        }
    }

如何克服这个问题？希望得到有利的答案。

Answer 1

现在您已经发布了相关代码，很难看出您不理解的引用消息的哪一部分。

修复只是删除代码的TrustManager部分，root和branch，并使用默认值，然后处理可能出现的任何问题< em>正确的方式，通过调整信任库的内容，以信任您需要信任的默认情况下尚未信任的所有证书。如果有的话，那就不应该。

Answer 2

为什么需要自定义SSLSocketFactory。您可以使用DefaultHttpClient，默认情况下将处理所有https。仅为了您的信息，我们已弃用HttpClient并使用HttpURLConnection。

如何正确处理SSL认证验证？

2 个答案: