Java：重写禁用SSL证书检查的函数

Question

web服务是SSL上的rest并且它有自己签名的证书，托管在远程系统中，我已经创建了一个访问该web服务的客户机。这是通过以编程方式将证书添加到密钥存储区来完成的。

现在我听说，访问自签名web服务不需要将证书添加到密钥存储区。相反，我们可以通过重写一些方法来禁用证书检查。这是真的吗？那些方法是什么？请帮忙。

Answer 1

这应该足够了。我在针对没有正确签名的证书的测试和暂存服务器测试代码时使用此方法。但是，您应该非常非常强烈地考虑在生产服务器上获得有效的SSL证书。没有人想被窃听，隐私被侵犯。

SSLContext sc = SSLContext.getInstance("TLS");
sc.init(null, new TrustManager[] { new TrustAllX509TrustManager() }, new java.security.SecureRandom());
HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());
HttpsURLConnection.setDefaultHostnameVerifier( new HostnameVerifier(){
    public boolean verify(String string,SSLSession ssls) {
        return true;
    }
});

还有这个。

import javax.net.ssl.X509TrustManager;
import java.security.cert.X509Certificate;

/**
 * DO NOT USE IN PRODUCTION!!!!
 * 
 * This class will simply trust everything that comes along.
 * 
 * @author frank
 *
 */
public class TrustAllX509TrustManager implements X509TrustManager {
    public X509Certificate[] getAcceptedIssuers() {
        return new X509Certificate[0];
    }

    public void checkClientTrusted(java.security.cert.X509Certificate[] certs,
            String authType) {
    }

    public void checkServerTrusted(java.security.cert.X509Certificate[] certs,
            String authType) {
    }

}

祝你好运！

===更新===

我只想指出，有一个名为Let's Encrypt的服务，它可以自动生成和设置几乎所有人都认可的SSL/TLS证书，而且它是绝对免费的！