AFNetworking 框架小结六（AFSecurityPolicy）

本文主要是介绍AFNetworking 框架小结六（AFSecurityPolicy），希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

AFSecurityPolicy

在 AFNetworking 框架中，可以使用 AFSecurityPolicy 类来设置 SSL 安全连接时的校验策略。在客户端应用中添加遵循 X.509 标准的数字证书，
并在与服务器建立安全连接时校验服务器传递的安全信息，这种方式可以有效避免中间人攻击等风险。

AFSecurityPolicy 的校验选项 AFSSLPinningMode 有三种：

AFSSLPinningModeNone 在与服务器建立安全连接时，并不会使用应用中已有的证书（也可能本就没有）对服务器传递的信息进行校验，此为默认选项
AFSSLPinningModePublicKey 使用应用中已有的公钥对服务器传递的信息进行校验
AFSSLPinningModeCertificate 使用应用中已有的数字证书对服务器传递的信息进行校验

属性

属性名称	属性类型	属性含义
SSLPinningMode	AFSSLPinningMode	校验策略
pinnedCertificates	`NSSet <NSData *>`	本地证书
pinnedPublicKeys	NSSet	本地证书所包含的公钥
allowInvalidCertificates	BOOL	是否信任证书是无效或过期的服务器，默认值为 NO
validatesDomainName	BOOL	是否校验证书中 CN 字段中的域名，默认值为 YES

方法

创建默认的安全策略

+ (instancetype)defaultPolicy;

在这个方法中，将 SSLPinningMode 的值设置为 AFSSLPinningModeNone 。
创建指定校验模式的安全策略
```
+ (instancetype)policyWithPinningMode:(AFSSLPinningMode)pinningMode {return [self policyWithPinningMode:pinningMode withPinnedCertificates:[self defaultPinnedCertificates]];
}
```
这个类的方法，实际是调用了下面的方法返回一个策略，只是其所提供参数，表示的是默认当前类名包下的所有证书，
如果没有名为 AFSecurityPolicy 的包，那么则没有本地证书以供校验时使用。
创建指定校验模式和证书的安全策略
```
+ (instancetype)policyWithPinningMode:(AFSSLPinningMode)pinningMode withPinnedCertificates:(NSSet *)pinnedCertificates;
```
这个方法，完全由调用者自己提供校验选项和证书数据。
获取指定包中的证书数据

+ (NSSet <NSData *> *)certificatesInBundle:(NSBundle *)bundle;
该方法可以很方便的获取指定包 bundle 中的证书数据，结合上一个方法，则创建安全策略实例对象十分方便。

校验服务器传递的安全信息

- (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust forDomain:(nullable NSString *)domain;
这个方法会根据当前策略来判断接收的服务器的安全信息是否有效，域名参数 domain 如果未传递，则不对其进行校验。如果要校验自签名证书的域名，那么本地应包含该证书并且校验策略不能是 AFSSLPinningModeNone 选项。

NSMutableArray *policies = [NSMutableArray array];
if (self.validatesDomainName) {[policies addObject:(__bridge_transfer id)SecPolicyCreateSSL(true, (__bridge CFStringRef)domain)];
} else {[policies addObject:(__bridge_transfer id)SecPolicyCreateBasicX509()];
}SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef)policies);

从上面的源代码可知，如果不对域名进行校验，便会创建 X.509 标准的默认校验策略，而后，将策略与服务器传递的安全信息 serverTrust 相关联。

接着执行下面的代码：

if (self.SSLPinningMode == AFSSLPinningModeNone) {return self.allowInvalidCertificates || AFServerTrustIsValid(serverTrust);
} else if (!AFServerTrustIsValid(serverTrust) && !self.allowInvalidCertificates) {return NO;
}

这里有点绕，如果策略选项为 AFSSLPinningModeNone ，那么分了两种情况，一种是，若 allowInvalidCertificates 属性值为 YES ，
即客户端信任无效或过期的证书（可能是自签名证书），那么，客户端则认为服务器是可信的。
另一种，则是调用 AFServerTrustIsValid 函数校验服务器传递的安全信息 serverTrust 是否是有效的。

如果策略选项不是 AFSSLPinningModeNone 并且 AFServerTrustIsValid 校验未通过，而客户端也不信任无效或过期的证书，那么则认为所连接的服务器不可信。

再接着往下校验，则是对 AFSSLPinningModeCertificate 和 AFSSLPinningModePublicKey 选项的分别处理，前者比较的是安全信息中的证书和本地的证书是否相同，
而后者则是对证书中的公钥进行比较。

在 AFSSLPinningModeCertificate 选项下，先调用 SecCertificateCreateWithData 函数将 pinnedCertificates 属性中的所有的本地证书数据转化为证书变量，
而后使用 SecTrustSetAnchorCertificates 函数将这些变量设置为校验服务器安全信息 serverTrust 的锚证书。

当确定 serverTrust 信息本身是有效的后，再调用 AFCertificateTrustChainForServerTrust 函数获取其所包含的所有证书 serverCertificates ，这个证书数组，第一个为子证书，最后一个可能是根证书（当然也可能不是），这样，再判断本地的所有证书 pinnedCertificates 中是否包含了 serverCertificates 中的一个证书。判断过程是从数组最后一个元素开始的，即从父证书开始判断。只要包含一个证书，那么就认为所连接的服务器是可以信任的。

在 AFSSLPinningModePublicKey 选项下，先调用 AFPublicKeyTrustChainForServerTrust 函数获取 serverTrust 中所含证书的所有公钥，而后，遍历这些公钥，如果有一个公钥在 pinnedPublicKeys 属性中的所有公钥中，那么就认为服务器是可信的。

具体的源代码如下：

- (BOOL)evaluateServerTrust:(SecTrustRef)serverTrustforDomain:(NSString *)domain
{if (domain && self.allowInvalidCertificates && self.validatesDomainName && (self.SSLPinningMode == AFSSLPinningModeNone || [self.pinnedCertificates count] == 0)) {// https://developer.apple.com/library/mac/documentation/NetworkingInternet/Conceptual/NetworkingTopics/Articles/OverridingSSLChainValidationCorrectly.html//  According to the docs, you should only trust your provided certs for evaluation.//  Pinned certificates are added to the trust. Without pinned certificates,//  there is nothing to evaluate against.////  From Apple Docs://          "Do not implicitly trust self-signed certificates as anchors (kSecTrustOptionImplicitAnchors).//           Instead, add your own (self-signed) CA certificate to the list of trusted anchors."NSLog(@"In order to validate a domain name for self signed certificates, you MUST use pinning.");return NO;}NSMutableArray *policies = [NSMutableArray array];if (self.validatesDomainName) {[policies addObject:(__bridge_transfer id)SecPolicyCreateSSL(true, (__bridge CFStringRef)domain)];} else {[policies addObject:(__bridge_transfer id)SecPolicyCreateBasicX509()];}SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef)policies);if (self.SSLPinningMode == AFSSLPinningModeNone) {return self.allowInvalidCertificates || AFServerTrustIsValid(serverTrust);} else if (!AFServerTrustIsValid(serverTrust) && !self.allowInvalidCertificates) {return NO;}switch (self.SSLPinningMode) {case AFSSLPinningModeNone:default:return NO;case AFSSLPinningModeCertificate: {NSMutableArray *pinnedCertificates = [NSMutableArray array];for (NSData *certificateData in self.pinnedCertificates) {[pinnedCertificates addObject:(__bridge_transfer id)SecCertificateCreateWithData(NULL, (__bridge CFDataRef)certificateData)];}SecTrustSetAnchorCertificates(serverTrust, (__bridge CFArrayRef)pinnedCertificates);if (!AFServerTrustIsValid(serverTrust)) {return NO;}// obtain the chain after being validated, which *should* contain the pinned certificate in the last position (if it's the Root CA)NSArray *serverCertificates = AFCertificateTrustChainForServerTrust(serverTrust);for (NSData *trustChainCertificate in [serverCertificates reverseObjectEnumerator]) {if ([self.pinnedCertificates containsObject:trustChainCertificate]) {return YES;}}return NO;}case AFSSLPinningModePublicKey: {NSUInteger trustedPublicKeyCount = 0;NSArray *publicKeys = AFPublicKeyTrustChainForServerTrust(serverTrust);for (id trustChainPublicKey in publicKeys) {for (id pinnedPublicKey in self.pinnedPublicKeys) {if (AFSecKeyIsEqualToKey((__bridge SecKeyRef)trustChainPublicKey, (__bridge SecKeyRef)pinnedPublicKey)) {trustedPublicKeyCount += 1;}}}return trustedPublicKeyCount > 0;}}return NO;
}

Security 框架

在对服务器传递的安全信息进行校验时，要获取安全信息中证书的证书或者公钥，主要使用的就是 Security 框架中的变量及其相关接口，
涉及到的变量类型有 SecTrustRef 、SecCertificateRef 、SecPolicyRef 、SecTrustResultType 等。

SecCertificateRef

这个变量用来描述遵循 X.509 标准格式的证书数据，使用下面的方法可以将 DER 编码的数据转换为该变量，当然反过来也能获取证书数据。

__nullable SecCertificateRef SecCertificateCreateWithData(CFAllocatorRef __nullable allocator, CFDataRef data) __OSX_AVAILABLE_STARTING(__MAC_10_6, __IPHONE_2_0);CFDataRef SecCertificateCopyData(SecCertificateRef certificate) __OSX_AVAILABLE_STARTING(__MAC_10_6, __IPHONE_2_0);

SecPolicyRef

安全信息校验策略，在对 SecTrustRef 变量信息进行校验时会用到这个策略。

通常，我们调用下面的方法创建一个默认的策略，该策略针对于 X.509 标准。

SecPolicyRef SecPolicyCreateBasicX509(void) __OSX_AVAILABLE_STARTING(__MAC_10_6, __IPHONE_2_0);

当然，也可以使用下面的方法，表明是对 SSL 连接中证书的校验，并且可以指定主机名，表示子证书中的主机名要与其一致。

SecPolicyRef SecPolicyCreateSSL(Boolean server, CFStringRef __nullable hostname) __OSX_AVAILABLE_STARTING(__MAC_10_6, __IPHONE_2_0);

该接口中还预定义了一些字符串常量，可以用来获取或设置策略中的一些属性。

SecTrustRef

这个信息是安全信息的描述，该信息可以由证书信息和策略信息创建，如下：

OSStatus SecTrustCreateWithCertificates(CFTypeRef certificates,CFTypeRef __nullable policies, SecTrustRef * __nonnull CF_RETURNS_RETAINED trust)__OSX_AVAILABLE_STARTING(__MAC_10_3, __IPHONE_2_0);

这个方法便是提供了一个证书 SecCertificateRef 变量和策略 SecPolicyRef 变量，由 trust 指针接收创建的 SecTrustRef 变量。

拥有一个 SecTrustRef 变量，最自然的操作就是验证它是否有效，如连接服务器时，接收到服务器的校验请求，所以，下面的方法最为常用。

OSStatus SecTrustEvaluate(SecTrustRef trust, SecTrustResultType * __nullable result)__OSX_AVAILABLE_STARTING(__MAC_10_3, __IPHONE_2_0);

但是这个校验操作是同步的，所以要注意其应该在子线程中调用，否则可能会阻塞主线程。不过，接口里也提供了异步校验操作函数，并且可以指定校验结束后的回调操作。

OSStatus SecTrustEvaluateAsync(SecTrustRef trust,dispatch_queue_t __nullable queue, SecTrustCallback result)__OSX_AVAILABLE_STARTING(__MAC_10_7, __IPHONE_7_0);

回调 SecTrustCallback 的类型定义如下：

typedef void (^SecTrustCallback)(SecTrustRef trustRef, SecTrustResultType trustResult);

校验后，会由 SecTrustResultType 类型的变量描述校验的结果，它可能的结果如下：

kSecTrustResultInvalid 通常表示校验尚未开始
kSecTrustResultProceed 表示可以执行，即校验通过
kSecTrustResultConfirm 表示后续执行需要用户确认，该字段在 OS X 10.9 和 iOS 7 之后就废弃了
kSecTrustResultDeny 表示用户拒绝信任相关安全信息
kSecTrustResultUnspecified 表示默认信任，但用户并没有明确表示信任
kSecTrustResultRecoverableTrustFailure 表示校验失败，但是用户可以强制校验通过
kSecTrustResultFatalTrustFailure 表示校验失败，且用户不能强制修改校验结果进行信任
kSecTrustResultOtherError 表示并不是校验信息时所产生的错误

在 AFNetworking 框架的安全策略中，获取的服务器安全信息校验状态为 kSecTrustResultUnspecified 或 kSecTrustResultProceed 则认为其可信。

除了校验信息是否可信外，还可以调用函数 SecTrustCopyPublicKey 获取公钥信息，调用 SecTrustGetCertificateCount 函数获取证书数量，调用 SecTrustGetCertificateAtIndex 获取具体证书信息等等。

这篇关于AFNetworking 框架小结六（AFSecurityPolicy）的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！

AFNetworking 框架小结六（AFSecurityPolicy）

AFSecurityPolicy

属性

方法

Security 框架

SecCertificateRef

SecPolicyRef

SecTrustRef

相关文章

Flutter打包APK的几种方式小结

Docker镜像pull失败两种解决办法小结

Python Dash框架在数据可视化仪表板中的应用与实践记录

基于Flask框架添加多个AI模型的API并进行交互

Python GUI框架中的PyQt详解

Android Kotlin 高阶函数详解及其在协程中的应用小结

Ollama Python 使用小结

java String.join()的使用小结

最新Spring Security实战教程之Spring Security安全框架指南

Qt 中 isHidden 和 isVisible 的区别与使用小结

AFNetworking 框架小结 六 （AFSecurityPolicy）

AFSecurityPolicy

属性

方法

Security 框架

SecCertificateRef

SecPolicyRef

SecTrustRef

相关文章

AFNetworking 框架小结六（AFSecurityPolicy）