iOS-网络请求安全

2016年8月7日

网络安全

1 Base64编码

一般情况下，Post表单提交和Get参数提交的情况下，都会暴露用户信息的。采用Base64将字符串转换成较长的字节编码，达到隐藏数据的目的。

iOS7.0之后，系统集成了Base64编码，其步骤为

将字符串转换成data
对data转换成base64编码，参数传0即可

代码：

//1 带加密字符串
NSString *str = @"hello";
//2 将字符串转换成data
NSData *data = [str dataUsingEncoding:NSUTF8StringEncoding];
//3 加密data--base64--参数0，没什么意义
NSString *baseStr = [data base64EncodedStringWithOptions:0];
NSLog(@"%@",baseStr);

终端命令

//编码 -o表示输出
base64 123.png -o 123.txt

//解码 -D表示解码
base64 123.txt -o 123.png -D

2 MD5散列

3 HTTPS请求

正经八百的Https请求，如果涉及到证书验证等情况，如果设置好挑战后，是不需要设置Info.plist里面的ATS的。

原理：

1 客户端发起链接请求
2 服务器接收到请求后，会生成私钥和公钥。并将公钥、证书信息、加密方式等放在一个受保护空间中发给客户端
3 客户端接收到这个challenge后，服务器验证证书合法性，并处理证书信任
4 如果服务器证书ok，客户端会随机产生一个对称的key,并用服务器发来的公钥加密这个key，连同客户端证书一并发给服务器
5 服务器接收到后，校验客户端证书合法性，如果OK，用服务器私钥加密得到客户端发来的key。
6 服务器将响应数据使用key加密，然后返回给客户端，通讯就正式开始了。

3.1 NSURLSession处理HTTPS请求

在使用NSURLSession来处理https请求的时候，我们只需要对服务器发来的challenge做处理，其他的都有系统为我们处理。拿到challenge后，如果是需要服务器信任操作，我们就需要设置接收并安装服务器证书，设置信任方式为服务器信任。

例如，我们以访问https://12306为例，进行代码说明

viewDidLoad方法体(加载后就开始请求)

-(void)viewDidLoad
{
    [super viewDidLoad];
    
    //1 不需要设置ATS
    //2 创建URL
    NSURL *url = [NSURL URLWithString:@"https://www.12306.cn/mormhweb/"];

    //3 创建request
    NSURLRequest *request = [NSURLRequest requestWithURL:url];

    //4 创建session--代理为控制器，configuration为默认，代理执行队列为主队列
    NSURLSession *session = [NSURLSession sessionWithConfiguration:[NSURLSessionConfiguration defaultSessionConfiguration] delegate:self delegateQueue:[NSOperationQueue mainQueue]];

    //5 创建数据请求任务--并使用block来处理接收到的数据
    NSURLSessionDataTask *task = [session dataTaskWithRequest:request completionHandler:^(NSData * _Nullable data, NSURLResponse * _Nullable response, NSError * _Nullable error) {
    NSLog(@"%@",[[NSString alloc]initWithData:data encoding:NSUTF8StringEncoding]);
    NSLog(@"error----%@",error);
    }];

    //6 开始任务
    [task resume];

}

设置代理--用来处理服务器发过来的challenge

-(void)URLSession:(NSURLSession *)session didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition, NSURLCredential * _Nullable))completionHandler
{

    //如果是服务器证书信任，我们才需要处理
    if (challenge.protectionSpace.authenticationMethod == NSURLAuthenticationMethodServerTrust) {
        //从challenge的受保护空间中拿到服务器信任，用来创建授权信息--授权可信任
        NSURLCredential *cre = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
        //调用block来设置
        //--NSURLSessionAuthChallengeUseCredential 枚举类型，表示使用证书
        //--cre--刚才创建的授权信息
        completionHandler(NSURLSessionAuthChallengeUseCredential,cre);
    }
}

3.2 AFNetworking处理HTTPS请求

步骤：

添加ATS，在info.plist里面添加属性
发送请求之前，修改manager的安全策略
发送请求

代码

- (void)viewDidLoad {
    [super viewDidLoad];


    //1 获取请求地址
    NSString *url = @"https://www.12306.cn/mormhweb/";

    //2 获取http请求管理器
    AFHTTPSessionManager *manager = [AFHTTPSessionManager manager];

    //3 设置安全策略--对证书-域名等处理方式
    manager.securityPolicy.allowInvalidCertificates = YES;//不管证书是自签名证书还是CA证书都接收
    manager.securityPolicy.validatesDomainName = NO;//不去校验域名

    //4 设置manager的其他属性
    manager.responseSerializer = [AFHTTPResponseSerializer serializer];//--让接收的响应不自动解析，仍然保持Http的二进制数据
    manager.responseSerializer.acceptableContentTypes = [NSSet setWithArray:@[@"text/html"]];

    //5 发起Get请求
    [manager GET:url parameters:nil progress:nil success:^(NSURLSessionDataTask * _Nonnull task, id  _Nullable responseObject) {
        NSLog(@"success---%@",responseObject);
    
    } failure:^(NSURLSessionDataTask * _Nullable task, NSError * _Nonnull error) {
     NSLog(@"error-----%@",error);
    }];
}