Android中Https通信实现_忽略证书校验

最新推荐文章于 2025-06-24 11:15:22 发布

ruiurrui

最新推荐文章于 2025-06-24 11:15:22 发布

阅读量5.9k

点赞数 1

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/u010982507/article/details/85258477

本文详细介绍了在Android中实现HTTPS通信时如何忽略证书校验，包括使用HttpURLConnection、OkHttp和Webview的信任所有证书设置。同时，文章强调了忽略证书校验可能带来的中间人攻击风险，并提供了相关代码示例和错误处理方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

客户端与服务端忽略证书校验即是在客户端的网络请求和webview中设置信任所有证书，然后在与服务端进行Https网络通信的时候，客户端不必进行证书校验也能进行网络通信，否则就会报证书不受信异常。
缺陷：容易受到中间人攻击。

概览

TrustManager和HostnameVerifier
HttpURLConnection信任所有证书
OkHttp信任所有证书
webview信任所有证书

`X509TrustManager`和`HostnameVerifier`

X509TrustManager用于实现SSL证书的安全校验，若使用不当，将导致APP对SSL证书不作校验，从而黑客有了中间人攻击的可乘之机。开发者常见错误：

自定义X509TrustManager，且不做任何校验逻辑，一般为空实现；

HostnameVerifier用于实现HTTPS通信中的域名安全校验，即验证当前连接的HTTPS站点的SSL证书中的域名是否等于站点本身的域名。开发者常见错误：

自定义HostnameVerifier，且不做任何校验逻辑，一般为return true；
使用Android系统中自带的不安全的HostnameVerifier，效果等同于不做任何校验逻辑：
org.apache.http.conn.ssl.AllowAllHostnameVerifier
org.apache.http.conn.ssl.SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER

工具类下载地址：https://download.youkuaiyun.com/download/u010982507/10880268

import java.security.SecureRandom;
import java.security.cert.X509Certificate;
import javax.net.ssl.HostnameVerifier;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLSession;
import javax.net.ssl.SSLSocketFactory;
import javax.net.ssl.TrustManager;
import javax.net.ssl.X509TrustManager;

public class SSLSocketClient {
   
   

    //获取这个SSLSocketFactory
    public static SSLSocketFactory getSSLSocketFactory() {
   
   
        try {
   
   
            SSLContext sslContext = SSLContext.getInstance