如何使用坏证书执行https请求？

Question

说我想得到https://golang.org以编程方式。目前是戈朗。org（ssl）有一个颁发给*的坏证书。appspot。com所以当我运行此命令时：

package main

import (
    "log"
    "net/http"
)

func main() {
    _, err := http.Get("https://golang.org/")
    if err != nil {
        log.Fatal(err)
    }
}

我得到了（如我所料）

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org

现在，我想自己信任这个证书（想象一个自我颁发的证书，我可以验证指纹等）：我如何发出请求并验证/信任证书？

我可能需要使用openssl下载证书，将其加载到我的文件中，并填写tls。配置结构！？

Answer 1

所有这些答案都是错误的！不要使用unsecureskipverify处理与主机名不匹配的CN。Go开发人员不明智地坚持不禁用主机名检查（它有合法的用途——隧道、NAT、共享群集证书等），同时也有一些看起来类似但实际上完全忽略证书检查的东西。您需要知道证书是有效的，并且由您信任的证书签名。但在常见情况下，您知道CN与您连接的主机名不匹配。对于这些，请在tls上设置ServerName。配置。如果tls。配置。ServerName==remoteServerCN，则证书检查将成功。这就是你想要的unsecureskipverify表示没有身份验证；对于中间的人来说，时机已经成熟；违背了使用TLS的目的。

unsecureskipverify有一个合法用途：使用它连接到主机并获取其证书，然后立即断开连接。如果您将代码设置为使用unsecureskipverify，这通常是因为您没有正确设置ServerName（它需要来自一个env-var或其他什么东西-不要为这个要求感到不安…正确地设置它）。

特别是，如果您使用客户端证书并依赖它们进行身份验证，您基本上拥有一个实际上不再登录的假登录。拒绝执行InsecureSkipVerify的代码，否则您将以艰难的方式了解它的错误！

Answer 2

正确方式（截至Go 1.13）（由以下答案提供）：

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
client := &http.Client{Transport: customTransport}

原始答复：

这里有一种方法可以做到这一点，而不会丢失DefaultTransport的默认设置，也不需要根据用户评论发出虚假请求。

defaultTransport := http.DefaultTransport.(*http.Transport)

// Create new Transport that ignores self-signed SSL
customTransport := &http.Transport{
  Proxy:                 defaultTransport.Proxy,
  DialContext:           defaultTransport.DialContext,
  MaxIdleConns:          defaultTransport.MaxIdleConns,
  IdleConnTimeout:       defaultTransport.IdleConnTimeout,
  ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout,
  TLSHandshakeTimeout:   defaultTransport.TLSHandshakeTimeout,
  TLSClientConfig:       &tls.Config{InsecureSkipVerify: true},
}
client := &http.Client{Transport: customTransport}

较短的方式：

customTransport := &(*http.DefaultTransport.(*http.Transport)) // make shallow copy
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
client := &http.Client{Transport: customTransport}

警告：仅用于测试/开发目的。其他任何事情，请自担风险！！！

Answer 3

安全注意：禁用安全检查是危险的，应该避免

可以对默认客户端的所有请求全局禁用安全检查：

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
    _, err := http.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

您可以禁用客户端的安全检查：

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    }
    client := &http.Client{Transport: tr}
    _, err := client.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}