AFNetworking 单向校验证书

+ (AFSecurityPolicy*)customPrivateSecurityPolicy {

    // 先导入证书

    NSString *cerPath = [[NSBundle mainBundle] pathForResource:@"private" ofType:@"cer"];//证书的路径

    NSData *certData = [NSData dataWithContentsOfFile:cerPath];

   // AFSSLPinningModeCertificate 使用证书验证模式

    AFSecurityPolicy *securityPolicy = [AFSecurityPolicy policyWithPinningMode:AFSSLPinningModeCertificate];

    // allowInvalidCertificates 是否允许无效证书（也就是自建的证书），默认为NO

    // 如果是需要验证自建证书，需要设置为YES

    securityPolicy.allowInvalidCertificates = YES;

    //validatesDomainName 是否需要验证域名，默认为YES；

    //假如证书的域名与你请求的域名不一致，需把该项设置为NO；如设成NO的话，即服务器使用其他可信任机构颁发的证书，也可以建立连接，这个非常危险，建议打开。

    //置为NO，主要用于这种情况：客户端请求的是子域名，而证书上的是另外一个域名。因为SSL证书上的域名是独立的，假如证书上注册的域名是www.google.com，那么mail.google.com是无法验证通过的；当然，有钱可以注册通配符的域名*.google.com，但这个还是比较贵的。

    //如置为NO，建议自己添加对应域名的校验逻辑。

    securityPolicy.validatesDomainName = NO;

    securityPolicy.pinnedCertificates = @[certData];

    return securityPolicy;

}

测试：

 1.获得请求管理者

AFHTTPRequestOperationManager *manage = [AFHTTPRequestOperationManager manager];

2.返回结果类型：

manage.responseSerializer = [AFHTTPResponseSerializer serializer];

 3. 加上这行代码，https ssl 验证。

 [manage setSecurityPolicy:[self customPrivateSecurityPolicy]];

重点在于处理NSURLConnection的didReceiveAuthenticationChallenge代理方法，对CA文件进行验证，并建立信任连接。//https 证书验证

- (BOOL)connection:(NSURLConnection *)connection canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace *)prote {

    ///NO 系统进行管理  YES 调用connection: didReceiveAuthenticationChallenge 进行验证

    return YES;

}

// NSURLConnection 手动验证 https 证书

- (void)connection:(NSURLConnection *)connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge {

    // 获取der格式CA证书路径

    NSString *certPath = [[NSBundle mainBundle]  pathForResource:@"CustomCA" ofType:@"der"];

    // 提取二进制内容

    NSData *derCA = [NSData dataWithContentsOfFile:certPath];

    // 根据二进制内容提取证书信息

    SecCertificateRef caRef = SecCertificateCreateWithData(NULL, (__bridge CFDataRef)derCA);

    // 形成钥匙链

    NSArray * chain = [NSArray arrayWithObject:(__bridge id)(caRef)];

    CFArrayRef caChainArrayRef = CFBridgingRetain(chain);

    // 取出服务器证书

    SecTrustRef trust = [[challenge protectionSpace] serverTrust];

    SecTrustResultType trustResult = kSecTrustResultInvalid;

    // 设置为我们自有的CA证书钥匙连

    int err = SecTrustSetAnchorCertificates(trust, caChainArrayRef);

    if (err == noErr) {

        // 用CA证书验证服务器证书

        err = SecTrustEvaluate(trust, &trustResult);

    }

    // 检查结果 kSecTrustResultConfirm 当值是这个时应询问用户许可，但这个值在iOS7.0后废弃了，系统支持到7.0 可以不管理这个值

    BOOL trusted = (err == noErr) && ((trustResult == kSecTrustResultProceed) || (trustResult == kSecTrustResultUnspecified));

#warning 使用根证书验证存在服务器证书如果不是我们使用的GlobalSignRootCA签发的这个子证书签发的（另一个子证书签发）也能校验过

    if (trusted) {

        [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge];

    } else {

        //验证证书不通过

        //当执行到这的时候应该去排查一下具体为什么没过，可以看一下是否换证书了，是否是用GlobalSignRootCA或其直接签发的子证书签发的

        //现在的验证的全部是这个机构签发的证书。这个机构换证书的几率很小，因为验证书是用根证书验的，签发机构要换 就要把所有证书换掉 一般不会这么做，

        [challenge.sender cancelAuthenticationChallenge:challenge];

    }

}

本页内容由塔灯网络科技有限公司通过网络收集编辑所得，所有资料仅供用户学习参考，本站不拥有所有权，如您认为本网页中由涉嫌抄袭的内容，请及时与我们联系，并提供相关证据，工作人员会在5工作日内联系您，一经查实，本站立刻删除侵权内容。本文链接:https://dengtar.com/20373.html