只针对一个特定的服务器忽略SSLHandshake异常

Question

我需要忽略PKIX路径构建异常

javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException:
PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderExc
ption: unable to find valid certification path to requested target

我知道如何通过编写我自己的类实现X509TrustManager来做到这一点，在那里我总是从isServerTrusted返回true。

但这是相当广泛的。我的代码将成为更大项目的一部分。我不想因为我更换了信托经理而影响其他一切。

我总是要连接到一个固定的域名，即“www.myws.com”。我只想忽略连接到“www.myws.com”的SSLHandshakeException。

这样的事情可能吗？

Answer 1

这两个问题的答案几乎不可能是相同的，因为我认为信任管理者根本无法获得服务器的域名。

实际上，信任管理器可以获得您想要的主机名的名称。不过，这取决于许多因素。

>

如果您在Java代码中使用了与当前代码相同的方法，那么您将使用与当前代码相同的方法。

当使用X509ExtendedTrustManager实例初始化时，SSLContext会使用这些方法，但当它是普通的X509TrustManager时则不会，因此在进行这些调用之前，它必须先检查类型（请参阅本答案末尾的快速测试，基于该答案中的代码）。

我不确定API在哪里指定了这种行为。《JSSE参考指南》中似乎没有关于此X509ExtendedTrustManager类型检查的任何内容。确保使用扩展方法的一种方法是在sslparemeters中设置一个enpoint标识算法（如HTTPS），但需要对客户端代码及其使用的库进行一定程度的控制。（这也是Java 7中引入的一项功能。）

从那里获得的SSLSocket或SSLEngine中，您可以获得SSLSession和对等主机，以便在那里执行检查。（请注意，如果创建SSLSocket或SSLEngine的库没有使用将该名称作为String传递的方法之一，而是传递了InetAddress，则主机名可能与预期不太匹配。在这种情况下，您也会丢失SNI。）

然后，您可以在默认的SSLContext中使用这样的信任管理器（使用setDefault（…） ）。

如果您不想影响默认的SSLContext（这是进行此类调整的明智选择），则需要弄清楚客户端库如何在每个连接中使用不同的库。这完全取决于使用了什么。

对于传统的URLConnection，将其转换为HttpsURLConnection，并设置为SSLSocketFactory作为自定义SSLContext的一个构建。

使用哪些方法将取决于您是实例化了X509ExtendedTrustManager还是X509TrustManager：

X509TrustManager customTm = new X509ExtendedTrustManager() {
    @Override
    public X509Certificate[] getAcceptedIssuers() {
        return finalTm.getAcceptedIssuers();
    }

    @Override
    public void checkServerTrusted(X509Certificate[] chain,
            String authType) throws CertificateException {
        System.out
                .println("Current method: checkServerTrusted(chain, authType)");
        finalTm.checkServerTrusted(chain, authType);
    }

    //@Override
    public void checkServerTrusted(X509Certificate[] chain,
            String authType, Socket socket) throws CertificateException {
        System.out
                .println("Current method: checkServerTrusted(chain, authType, socket)");
        finalTm.checkServerTrusted(chain, authType, socket);
    }

    //@Override
    public void checkServerTrusted(X509Certificate[] chain,
            String authType, SSLEngine engine)
            throws CertificateException {
        System.out
                .println("Current method: checkServerTrusted(chain, authType, engine)");
        finalTm.checkServerTrusted(chain, authType, engine);
    }

    // Same for client-related methods.
};