Apache Commons HttpClient 3.1 nasıl HTTPS sertifikası geçersizliğini dikkate almaz?

Question

Apache Commons HttpClient kitaplığı (sürüm 3.1), sunucu sertifikasının güvenilen olarak belirlenemediğini (javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target atılan istisna tarafından kanıtlandığı gibi) görmezden gelmeye çalışıyorum.

Ben Make a connection to a HTTPS server from Java and ignore the validity of the security certificate yanı sıra Disable Certificate Validation in Java SSL Connections, buldunuz ama ilk kabul cevap birisi aynı iki farklı sürümü nasıl kullanılacağı yönünde beni işaret edebilir sürece, HttpClient 4,0 (ne yazık ki yükseltemezsiniz içindir Aynı proje içindeki kütüphane), another answer with little more than a dead link that supposedly went to a 3.x solution olmasına rağmen. İkinci sayfadaki kodun, biraz ayarlanmış bir sürümünü kullandığımda hiç bir etkisi yok gibi görünüyor (temel olarak, anonim olanları satır içi kullanarak değil de eski moda sınıfları ilan ederek, SSL'a ek olarak TLS örnek kodda olduğu gibi varsayılan HTTPS soket fabrikası için SSL'u kullanarak). (Ve/veya sınıfları ilgili) herhangi HttpClient örneği başka servlet çalışan (değil benim servlet kodu içinde yaratılan bu yüzden

Tercihen, ben parçacığı/örnek çapında olan bir şeyi istiyorum Aynı kapsayıcı), lax sertifikası doğrulama mantığını kullanacaktır, ancak bu noktada, kendinden imzalı sertifikayı geçerli olarak kabul ettiği sürece herhangi bir şey yapacağı gibi hissetmeye başlıyorum.

Evet, güvenlik etkilerinin olduğunu biliyorum, ancak buna neden ihtiyacımın tek nedeni test amaçlıdır. Buradaki fikir, normalde güvenilmeyen sertifikaların güvenilir olup olmadığını denetleyen bir yapılandırma seçeneği uygulamak ve varsayılan olarak "güvenilir olmayan sunucu sertifikalarına güvenme" bölümünde bırakmaktır. Böylelikle, geliştirme aşamasında kolayca açılıp kapatılabilir, ancak üretimde bunu yapmak yoldan çıkmayı gerektirir.

Answer 1

Kendinden imzalı sertifikaları kabul etmek için, özel bir HttpConnection için aşağıdaki kodu commons http istemcisinden kullanırız.

HttpConnection con = new HttpConnection(host, port); 
con.setProtocol(new Protocol("easyhttps", (ProtocolSocketFactory)new EasySSLProtocolSocketFactory(), port)); 

EasySSLProtocolSocketFactory

Contrib SSL paketinde bulunabilir. Ve bu, azaltılmış güvenlik ayarıyla sadece tek bağlantılar yapmak için kullanılabilir.

Protocol easyhttps = new Protocol("https", (ProtocolSocketFactory)new EasySSLProtocolSocketFactory(), 443); 
Protocol.registerProtocol("https", easyhttps); 

HttpClient client = new HttpClient(); 
GetMethod httpget = new GetMethod("https://localhost/"); 
client.executeMethod(httpget); 

Ama bu aynı zamanda diğer servlet gelen bağlantıları etkileyecektir düşünüyorum: Bu da her müşteri için protokol ayarlamak için kullanılabilir gibi burada gösterildiği gibi görünüyor.

[Düzenle] Üzgünüz, bunun sizin için çalışıp çalışmayacağını bilmiyorum. Sadece istemci 3.0.1 ve 3.1 değil kullandığımızı kabul etti.