根据Googe Play Store提供的应用程序中正确的主机名验证器

Question

到目前为止，我使用以下代码来调用应用程序中的“https”API。

 public class HttpsTrustManager implements X509TrustManager {

private static TrustManager[] trustManagers;
private static final X509Certificate[] _AcceptedIssuers = new X509Certificate[]{};

@SuppressLint("TrustAllX509TrustManager")
@Override
public void checkClientTrusted(
        X509Certificate[] x509Certificates, String s)
        throws java.security.cert.CertificateException {

}

@SuppressLint("TrustAllX509TrustManager")
@Override
public void checkServerTrusted(
        X509Certificate[] x509Certificates, String s)
        throws java.security.cert.CertificateException {

}

public boolean isClientTrusted(X509Certificate[] chain) {
    return true;
}

public boolean isServerTrusted(X509Certificate[] chain) {
    return true;
}

@Override
public X509Certificate[] getAcceptedIssuers() {
    return _AcceptedIssuers;
}

public static void allowAllSSL() {
    HttpsURLConnection.setDefaultHostnameVerifier(new HostnameVerifier() {

        @Override
        public boolean verify(String arg0, SSLSession arg1) {
            return true;
        }

    });

    SSLContext context = null;
    if (trustManagers == null) {
        trustManagers = new TrustManager[]{new HttpsTrustManager()};
    }

    try {
        context = SSLContext.getInstance("TLS");
        context.init(null, trustManagers, new SecureRandom());
    } catch (NoSuchAlgorithmException e) {
        e.printStackTrace();
    } catch (KeyManagementException e) {
        e.printStackTrace();
    }

    HttpsURLConnection.setDefaultSSLSocketFactory(context.getSocketFactory());
}

}

我对谷歌play Store所做的android安全更改感到陌生。我从play Store收到了以下警告：

更改自定义HostnameVerifier接口中的verify方法，使其在服务器的主机名不符合您的期望时返回false。

我想知道我应该在应用程序或服务器中做什么样的改变？？我已经尝试了堆栈溢出中存在的其他链接，但我不想澄清这一点，我应该修改应用程序还是只是在服务器中创建签名证书？

我能找到但不确定是否有效的解决方案

如果添加以下代码：

 `HttpsURLConnection.setDefaultHostnameVerifier(new HostnameVerifier() {
        @Override
        public boolean verify(String hostname, SSLSession arg1) {
            if (hostname.equalsIgnoreCase("https://xxxxxx.xx") ){

                return true;
            } else {
                return false;
            }
        }});`

那么在play Store里不会有什么问题吗？

Answer 1

这不是SSL的有效或安全实现，也不是您建议的解决方案。

正确的解决方案是删除所有这些代码。

您的allowAllSSL方法所做的唯一事情是完全禁用所有SSL安全性。这样做将使用户容易受到基于网络的窃听和攻击。