okhttp证书锁定

Http证书锁定是一种安全机制，用于约束哪些证书是可信的。它可以防止对证书颁发机构相关的攻击，并阻止通过用户已知或未知的中间证书颁发机构建立的连接。OkHttp证书锁定的实现方式是通过CertificatePinner类来实现的。该类可以锁定一个证书的主题公钥信息，以确保连接的安全性。在使用OkHttp进行网络请求时，可以通过设置CertificatePinner对象来实现证书锁定。具体实现方式可以参考引用中的代码示例。在TLS握手成功后，OkHttp会调用check方法来确认锁定主机名的至少一个证书在peerCertificates中。如果没有锁定主机名的证书，则什么也不做。

相关问题

okhttp如何实现证书锁定

OkHttp可以通过证书锁定（Certificate Pinning）来增强安全性，它可以防止中间人攻击，即使攻击者拥有有效的证书也无法伪造服务器。证书锁定的实现方式是将服务器的证书指纹（SHA-256哈希值）硬编码到应用程序中，然后在建立连接时验证服务器证书的指纹是否与硬编码的指纹匹配。如果不匹配，则连接失败。证书锁定可以通过以下步骤实现：

1.获取服务器证书的SHA-256哈希值。
2.将哈希值硬编码到应用程序中。
3.在建立连接时，验证服务器证书的SHA-256哈希值是否与硬编码的哈希值匹配。

证书锁定可以通过以下代码实现：

public final class CertificatePinner {
  public static final CertificatePinner DEFAULT = new Builder().build();

  private final Map<String, Set<String>> pins;

  private CertificatePinner(Builder builder) {
    this.pins = Util.immutableMap(builder.pins);
  }

  public void check(String hostname, List<Certificate> peerCertificates)
      throws SSLPeerUnverifiedException {
    Set<String> pins = findMatchingPins(hostname);
    if (pins == null) return;

    for (Certificate certificate : peerCertificates) {
      if (!(certificate instanceof X509Certificate)) continue;

      X509Certificate x509Certificate = (X509Certificate) certificate;
      if (pins.contains(sha256(x509Certificate))) {
        return; // Success!
      }
    }

    throw new SSLPeerUnverifiedException("Certificate pinning failure");
  }

  private Set<String> findMatchingPins(String hostname) {
    Set<String> directPins = pins.get(hostname);
    Set<String> wildcardPins = null;
    int indexOfFirstDot = hostname.indexOf('.');
    if (indexOfFirstDot != hostname.lastIndexOf('.')) {
      wildcardPins = pins.get("*." + hostname.substring(indexOfFirstDot + 1));
    }
    if (directPins == null && wildcardPins == null) {
      return null;
    } else if (directPins != null && wildcardPins != null) {
      Set<String> pins = new HashSet<>();
      pins.addAll(directPins);
      pins.addAll(wildcardPins);
      return pins;    } else if (directPins != null) {
      return directPins;
    } else {
      return wildcardPins;
    }
  }

  public static final class Builder {
    private final Map<String, Set<String>> pins = new LinkedHashMap<>();

    public Builder add(String hostname, String... pins) {
      Set<String> hostPins = new TreeSet<>();
      Collections.addAll(hostPins, pins);
      this.pins.put(hostname, hostPins);
      return this;
    }

    public CertificatePinner build() {
      return new CertificatePinner(this);
    }
  }
}

okhttp 忽略https的证书校验

在使用OkHttp时，如果我们想要忽略HTTPS的证书校验，可以通过自定义一个用于信任所有证书的信任管理器来实现。

首先，我们需要创建一个TrustManager的实现类，该类用于信任所有的证书。可以通过重写checkClientTrusted和checkServerTrusted方法来实现，这两个方法在验证客户端和服务器端证书时被调用，我们可以在这里不进行任何校验直接返回一个空的链表。

接下来，我们需要创建一个SSLContext对象，并使用我们自定义的TrustManager进行初始化。然后，使用这个SSLContext对象创建一个SSLSocketFactory对象。

最后，我们将这个SSLSocketFactory对象设置到OkHttpClient中的SSL socket factory中，这样OkHttp在发起HTTPS请求时就会忽略证书校验了。

下面是一个示例代码：

// 创建信任所有证书的TrustManager
X509TrustManager trustManager = new X509TrustManager() {
    @Override
    public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException {
        // 可以不进行任何校验直接返回
    }

    @Override
    public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException {
        // 可以不进行任何校验直接返回
    }

    @Override
    public X509Certificate[] getAcceptedIssuers() {
        return new X509Certificate[0];
    }
};

try {
    // 创建一个SSLContext并使用我们的TrustManager初始化
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, new TrustManager[]{trustManager}, null);

    // 创建SSLSocketFactory
    SSLSocketFactory sslSocketFactory = sslContext.getSocketFactory();

    OkHttpClient client = new OkHttpClient.Builder()
            .sslSocketFactory(sslSocketFactory, trustManager)
            .build();

    // 使用client发起HTTPS请求
    // ...
} catch (Exception e) {
    e.printStackTrace();
}

需要注意的是，忽略HTTPS的证书校验存在一定的安全风险，因此建议仅在开发环境中使用，并在正式环境中使用正规的证书进行校验。