基于AFNetworking的SSL证书验证

Question

我理解SSL证书的使用和必要性。我希望详细解释http协议和SSL证书之间的关系，以及https和SSL证书之间的关系。

在AFNetworking中，定义_AFNETWORKING_ALLOW_INVALID_SSL_CERTIFICATES_允许无效的证书。假定未设置此标志，库默认应拒绝无效证书。但是，如果服务器端没有安装证书怎么办？我看到我可以使用http协议访问没有证书的服务器。

是否只对https协议进行默认的证书验证？

我只想访问那些拥有证书并且在http和https上有效的服务器？是否需要此功能?如果需要，是否有可能？

Answer 1

我认为您不理解HTTP和HTTPS的含义：

• http是一种无需加密与服务器通信的会话协议。所有内容都是清空发送的，也没有办法验证服务器的真实性(即服务器响应确实具有正确的主机名)。在这种情况下，服务器不需要SSL证书。
• 如果要确保与服务器的通信是加密的，则使用https。为此，服务器需要SSL证书，在通过HTTP会话发送任何内容之前，将发生握手，允许客户端获取服务器的SSL证书，以便加密所发送的数据。因此，SSL证书仅用于HTTPS连接。

还可以根据所使用的SSL证书验证服务器的真实性。所有浏览器(默认情况下在iOS上，除非您在应用程序中对此做了明确的更改)将只接受由已知的证书颁发机构颁发的SSL证书。通过这种方式，您可以确保服务器确实位于所请求的主机名上。根据SSL证书，服务器的所有者也可能被验证(也就是说，服务器确实属于它声称属于的公司)。