返回

iOS URLSession 证书验证：如何在开发测试中绕过它？

IOS

绕过证书验证：URLSession 从错误中学习

绕不过去的证书验证

iOS 网络模块的证书验证是一个安全特性，可以防止应用程序连接到不安全的服务器。但是，在某些情况下，例如在开发或测试期间，需要绕过证书验证。然而，现有的解决方案可能无效或不可靠。

自定义验证逻辑

幸运的是，我们可以使用 URLSession 委托来实现自定义验证逻辑，绕过证书验证。

创建 URLSession 委托

首先，创建一个 URLSession 委托类，该类将处理认证挑战。

class MySessionDelegate: URLSessionDelegate {
}

覆盖 didReceive 方法

在委托类中，覆盖 urlSession(_:didReceive challenge:completionHandler:) 方法。此方法允许我们拦截并处理认证挑战。

func urlSession(_ session: URLSession, didReceive challenge: URLAuthenticationChallenge, completionHandler: @escaping (URLSession.AuthChallengeDisposition, URLCredential?) -> Void) {
    switch challenge.protectionSpace.authenticationMethod {
    case NSURLAuthenticationMethodServerTrust:
        let credential = URLCredential(trust: challenge.protectionSpace.serverTrust!)
        completionHandler(.useCredential, credential)
    default:
        completionHandler(.rejectProtectionSpace, nil)
    }
}

对于服务器信任认证方法，我们创建并返回一个包含服务器信任的 URLCredential。对于其他认证方法，我们拒绝保护空间，表明我们不会接受挑战。

使用自定义委托创建 URLSession

最后，使用自定义委托创建 URLSession。

let session = URLSession(configuration: .default, delegate: MySessionDelegate(), delegateQueue: nil)

注意

此解决方案仅适用于自签名或不受信任的证书，不应用于绕过有效的安全证书。

结论

使用自定义验证逻辑，我们可以绕过 iOS 网络模块的证书验证。这在开发或测试期间非常有用，但在实际生产环境中应该谨慎使用。

常见问题解答

  1. 为什么需要绕过证书验证？

在某些情况下，例如在开发或测试期间，需要绕过证书验证，以连接到不安全的服务器。

  1. 这个方法安全吗？

此方法仅适用于自签名或不受信任的证书。不应用于绕过有效的安全证书。

  1. 我可以在实际生产环境中使用此方法吗？

不建议在实际生产环境中使用此方法，因为这样做会降低应用程序的安全性。

  1. 还有其他绕过证书验证的方法吗？

有其他方法，但它们可能无效或不可靠。自定义验证逻辑是目前最可靠的方法。

  1. 我还可以使用此方法解决哪些其他问题？

此方法还可以用于解决与证书相关的其他问题，例如证书过期或撤销。