使用Java API的S3 / AWS的SSL问题：“证书中的主机名不匹配”

Question

Amazon在其1.3.21版本的AWS Java SDK中“升级”了SSL安全性。使用Amazon的AWS Java
API时，这将无法访问名称中带有句点的所有S3存储桶。我使用的是1.3.21.1版本，当前版本截至2012年10月5日。我在下面的回答中提供了一些解决方案，但我正在寻找有关此问题的其他解决方案。

如果遇到此错误，则在异常/日志中将看到类似以下消息的内容。在此示例中，存储桶名称为foo.example.com。

INFO: Unable to execute HTTP request: hostname in certificate didn't match:
       <foo.example.com.s3.amazonaws.com> != <*.s3.amazonaws.com>
       OR <*.s3.amazonaws.com> OR <s3.amazonaws.com>
at org.apache.http.conn.ssl.AbstractVerifier.verify(AbstractVerifier.java:220)
at org.apache.http.conn.ssl.StrictHostnameVerifier.verify(StrictHostnameVerifier.java:61)
at org.apache.http.conn.ssl.AbstractVerifier.verify(AbstractVerifier.java:149)
at org.apache.http.conn.ssl.AbstractVerifier.verify(AbstractVerifier.java:130)
at org.apache.http.conn.ssl.SSLSocketFactory.connectSocket(SSLSocketFactory.java:390)

您可以在AWS S3论坛上查看有关此问题的文档：

https://forums.aws.amazon.com/thread.jspa?messageID=387508

亚马逊对此问题的回应如下。

对于具有此命名模式的存储桶，我们应该能够使用存储桶寻址的较旧路径样式方法（而不是较新的虚拟主机样式寻址）来解决此问题。我们将开始修复此问题，并确保我们的内部集成测试具有包含时段的存储桶名称的测试用例。

任何解决方法或其他解决方案？感谢您的任何反馈。

Answer 1

亚马逊发布了1.3.22版本，此版本解决了此问题。我已验证我们的代码现在可以正常工作了。引用其发行说明：

现在可以通过HTTPS再次正确寻址名称包含句点的存储桶。

除了等待亚马逊发布新的API之外，我还可以看到几种解决方案。

1. 显然，您可以回滚到AWS Java SDK的1.3.20版本。不幸的是，我需要1.3.21中的某些功能。

2. 您可以org.apache.http.conn.ssl.StrictHostnameVerifier在类路径中替换。但是，这是一个 hack ，它将删除我认为对Apache http连接的所有SSL检查。这是对我有用的代码：http : //pastebin.com/bvFELdJE

3. 我最终从AWS源jar下载并构建自己的软件包。我对HttpClientFactory源应用了以下近似补丁。

   ===================================================================
   

   — src/main/java/com/amazonaws/http/HttpClientFactory.java (thirdparty/aws) (revision 20105)
   +++ src/main/java/com/amazonaws/http/HttpClientFactory.java (thirdparty/aws) (working copy)
   @@ -93,7 +93,7 @@
   
   

                       SSLSocketFactory sf = new SSLSocketFactory(
                               SSLContext.getDefault(),
   

   • SSLSocketFactory.STRICT_HOSTNAME_VERIFIER);
   • SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER);

4. 正确的解决方法是将域名存储桶处理更改为基于路径的处理。

顺便说一句，下面的内容似乎可行，但 无效 。AWS客户端专门请求STRICT验证者，并且不使用默认验证者：

SSLSocketFactory.getSystemSocketFactory().setHostnameVerifier(
    SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER);