【Android安全】https安全：HostnameVerifier-Toy模板网

这篇具有很好参考价值的文章主要介绍了【Android安全】https安全：HostnameVerifier。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

HostnameVerifier接口

HostnameVerifier的作用

HostnameVerifier接口用于验证当前已建立的连接的hostname（参数一）和连接的SSLSession（参数二）的证书是否匹配。
其目的是防止中间人攻击。

HostnameVerifier的定义

HostnameVerifier接口定义如下：

 public abstract interface HostnameVerifier
 {
   public abstract boolean verify(String paramString, SSLSession paramSSLSession);
 }

仅一个方法，参数paramString为当前connection的hostname；参数paramSSLSession是当前connection的SSLSession，可以从中获取到证书列表。

verify方法的默认实现如下：

@Override
    public boolean verify(final String host, final SSLSession session) {
        try {
            final Certificate[] certs = session.getPeerCertificates();
            final X509Certificate x509 = (X509Certificate) certs[0];
            verify(host, x509);
            return true;
        } catch (final SSLException ex) {
            if (log.isDebugEnabled()) {
                log.debug(ex.getMessage(), ex);
            }
            return false;
        }
    }

verify方法可以由app开发者自行实现。如果实现不恰当，例如永远返回true，则有安全风险。

反例：
HostnameVerifier hnv=new HosernameVerifier(){
  @Override
  public boolean verify(String hostname,SSLSession session){
      return ture;
  }
}

正例：
HostnameVerifier hnv=new HosernameVerifier(){
@Override
public boolean verify(String hostname,SSLSession session){
    if("youhostname".equals(hostname)){
        return true;
    }else{
          HostnameVerifier        hv=HttpsURLConnection.getDefaultHostnameVerifier();
         return hv.verify(hostname,session);
          }
  }
}