僅供api訪問的ssl和證書問題

Question

我有一個移動應用程序將通過https與我的網絡服務器進行通信。我的問題是，我甚至需要擔心安裝證書，因爲這個api的所有流量都是無頭的？

根據我的理解，SSL爲請求提供加密，並且證書爲最終用戶建立信任。因爲這些對我的網絡服務器的調用基本上是無法實現的，所以我認爲我不需要擔心信任的建立。

我在這個想法中正確嗎？

Answer 1

你要麼需要一個self-signed certificate或者爲了使用服務器上的一個HTTPSCA-signed certificate。

如果您的證書未由證書頒發機構分配給您，則您創建的任何連接都將爲trigger an error in your URLRequest that you will have to handle。不可信證書的問題在於，a malicious man-in-the-middle可能會使用自己的自簽名證書將數據僞造到您的服務器以及從您的服務器僞造數據，並可能選取他應該無權訪問的身份驗證憑據或數據。

如果您正在處理任何身份驗證憑證或其他私人數據，我建議您只需申請一個簽名證書。如果你四處逛逛，你可以找到每年10-20美元的廉價簽名證書，這對保護你的用戶來說是一項微不足道的成本。但是，如果這只是一個個人項目（您唯一需要擔心的數據是，您的），或者您將發送的任何數據都是免費提供的，那麼自簽名證書可能就足夠了。