使用HTTPS（不可信證書）使用Java訪問網站時出現問題

Question

我嘗試使用來自Java應用程序的HTTP訪問網站。由於應用程序在開發環境中運行，因此相應的證書不受信任。

當使用javax.net.ssl包時，我嘗試定義一個自定義的TrustManager實現，該實現允許將所有內容傳遞給SslContext的init方法的第二個參數，但這不起作用。

有沒有人做過類似的工作？ 非常感謝您的幫助！ Thierry

Answer 1

如果您信任該證書，則應將其添加到您的應用程序服務器的信任庫中。實施不執行證書檢查的信任管理器是一個安全漏洞。

Answer 2

這是很容易實現TrustManager不驗證什麼（工作在客戶端和服務器端）：

public class NoVerifyTM implements X509TrustManager 
{ 
    void checkClientTrusted(X509Certificate[] chain, String authType) { 
    /* Accept All */ 
    } 

    void checkServerTrusted(X509Certificate[] chain, String authType) { 
    /* Accept All */ 
    } 

    X509Certificate[] getAcceptedIssuers() { 
    return new X509Certificate[0] 
    } 
} 

要使用此TrustManager：

SSLContext ctx = SSLContext.getDefault(); 
ctx.init(null, new TrustManager[] { new NoVerifyTM() }, null); 
SSLSocketFactory sf = ctx.getSocketFactory(); 

請注意：（如@hanwg所說），這種信任管理器只能用於測試/原型設計。