我的 Android 应用使用 DefaultHttpClient API 向外部 HTTP 服务器发送请求。我无法切换到 HTTPS。
我的服务器使用自签名证书，默认情况下显然不受信任。
当应用程序连接到服务器时，我想向用户显示服务器证书的指纹，让他接受或拒绝证书。
DefaultHttpClient 可以做到这一点吗？如果是，我可以看到一个代码 sn-p 显示它是如何完成的。
我已经看到了许多解决此问题和类似问题的假设解决方案，但没有一个对我有用。
【问题讨论】：
我终于找到了一个可行的解决方案。这是sn-p：
public class MySocketFactory implements SocketFactory, LayeredSocketFactory {
private SSLContext mSslContext = null;
{
try {
mSslContext = SSLContext.getInstance("TLS");
TrustManager trustManager = new X509TrustManager() {
@Override
public X509Certificate[] getAcceptedIssuers() {
return null;
}
@Override
public void checkServerTrusted(X509Certificate[] chain, String authType)
throws CertificateException {
// !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
// NOTE : This is where we can calculate the certificate's fingerprint,
// show it to the user and throw an exception in case he doesn't like it
}
@Override
public void checkClientTrusted(X509Certificate[] chain, String authType)
throws CertificateException {
}
};
mSslContext.init(null, new TrustManager[]{ trustManager }, new SecureRandom());
} catch (Exception e) {
e.printStackTrace();
}
}
@Override
public Socket connectSocket(Socket socket, String host, int port,
InetAddress localAddress, int localPort, HttpParams params)
throws IOException, UnknownHostException, ConnectTimeoutException {
int connTimeout = HttpConnectionParams.getConnectionTimeout(params);
int soTimeout = HttpConnectionParams.getSoTimeout(params);
SocketAddress socketAddress = new InetSocketAddress(localAddress, localPort);
socket.bind(socketAddress);
socket.connect(new InetSocketAddress(host, port), connTimeout);
socket.setSoTimeout(soTimeout);
return socket;
}
@Override
public Socket createSocket() throws IOException {
return mSslContext.getSocketFactory().createSocket();
}
@Override
public boolean isSecure(Socket sock) throws IllegalArgumentException {
return true;
}
@Override
public Socket createSocket(Socket socket, String host, int port,
boolean autoClose) throws IOException, UnknownHostException {
return mSslContext.getSocketFactory().createSocket(socket, host, port, autoClose);
}
}
然后你可以像这样实例化你的 DefaultHttpClient：
HttpParams httpParameters = new BasicHttpParams();
HttpConnectionParams.setConnectionTimeout(httpParameters, 5000);
DefaultHttpClient result = new DefaultHttpClient(httpParameters);
MySocketFactory mySocketFactory = new MySocketFactory();
Scheme scheme = new Scheme("https", mySocketFactory, port);
result.getConnectionManager().getSchemeRegistry().register(scheme);
我试过了，它确实有效！
【讨论】：
DefaultHTTPClient, 不可能，因为信任匹配发生在较低级别，在 SSL 堆栈（JSSE 或 OpenSSL 或任何 Android 使用）中。
最简单和最便宜的解决方案是根本不使用自签名证书。使用 CA 签名的证书。你已经花费了超过它的成本，你将花费更多的时间，它可能是值得的。把钱付给 CA。
【讨论】：