Android Volley的使用（三）Volley中如何使用https

概念

https（Hyper Text TransferProtocol over Secure Socket Layer）简单讲就是在http中加入了SSL（Secure Sockets Layer，安全套接层）层的安全版本。https请求是安全的，所以请求过程中不可以被抓包。

在典型的 SSL 使用场景中，会使用一个包含公钥及与其匹配的私钥的证书配置服务器。让客户端也拥有其信任的一个或多个证书集。如果请求的URL地址时发现证书不在此集合中，则不会信任服务器而请求失败。但是这样做也存在缺点。服务器在后续时间里可能存在升级更强的密钥，使用新的公钥替换证书中的公钥。这时由于客户端不能及时更新的话就会出现问题。

为弥补这些缺点，通常使用来自知名颁发者（称为证书颁发机构 (CA)）发放的证书配置服务器。主机平台一般包含其信任的知名 CA 的列表。从 Android 4.2 (Jelly Bean) 开始，Android 目前包含在每个版本中更新的100 多个 CA。CA 具有一个证书和一个私钥，这点与服务器相似。为服务器发放证书时，CA 使用其私钥签署服务器证书。然后，客户端可以验证该服务器是否具有平台已知的 CA 发放的证书。详细可以参考官方说明https://developer.android.com/training/articles/security-ssl.html。

实现1

根据上面概念介绍，如果服务器是使用来自知名证书颁发机构发放的证书配置，那么在Android里会自动帮忙我们去验证该证书是否有效，我们在使用Volley请求网络时，根本就是不需要做任何事情，只需要将http URL改成https URL即可。

实现2

如果服务器没有使用第三方知名证书颁发机构发放的证书配置，是通过典型使用场景，即使用一个包含公钥及与其匹配的私钥的证书配置服务器。那么也需要客户端配置与其匹配的证书。我们在《Android Volley的使用（一）基本网络请求》中介绍到可以通过代码

RequestQueue requestQueue =Volley.newRequestQueue(getApplicationContext());

来创建请求队列RequestQueue对象。其实我们从源码中可以发现，newRequestQueue方法还有一个重载的版本：newRequestQueue(Context context, HttpStack stack)。那么客户端配置证书使用如下：

SSLSocketFactory sslSocketFactory =initSSLSocketFactory();
HurlStack stack = new HurlStack(null,sslSocketFactory);
RequestQueue requestQueue =Volley.newRequestQueue(mContext, stack);

private final String RFC ="XXX...";

/**
* 生成SSLSocketFactory
* 这里的代码与之前相比，没有什么不同
*
*@return
*/
private SSLSocketFactoryinitSSLSocketFactory() {
//生成证书:Certificate
CertificateFactory cf = null;
SSLSocketFactory factory = null;
try {
cf = CertificateFactory.getInstance("X.509");
InputStream caInput = new ByteArrayInputStream(RFC.getBytes());                     // 通过证书生成的RFC格式数据字符串
//InputStream caInput = new BufferedInputStream(newFileInputStream("xxx.crt"));       // 证书文件

Certificate ca = null;
try {
ca = cf.generateCertificate(caInput);
} finally {
try {
caInput.close();
} catch (IOException e) {
e.printStackTrace();
}
}

//初始化公钥:keyStore
String keyType = KeyStore.getDefaultType();
KeyStore keyStore = KeyStore.getInstance(keyType);
keyStore.load(null, null);
keyStore.setCertificateEntry("ca", ca);

//初始化TrustManagerFactory
String algorithm = TrustManagerFactory.getDefaultAlgorithm();
TrustManagerFactory managerFactory =TrustManagerFactory.getInstance(algorithm);
managerFactory.init(keyStore);

//初始化sslContext
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, managerFactory.getTrustManagers(), null);
factory = sslContext.getSocketFactory();

}catch (CertificateException e) {
e.printStackTrace();
}catch (NoSuchAlgorithmException e) {
e.printStackTrace();
}catch (KeyStoreException e) {
e.printStackTrace();
}catch (IOException e) {
e.printStackTrace();
}catch (KeyManagementException e) {
e.printStackTrace();
}
return factory;
}

实现3

这种方法属性比较极端的做法，就是跳转证书验证。其实使用https请求验证是否合法，在Volley中主要是HostnameVerifier接口中的verify方法进行验证，所以如果我们在此方法中返回true，则可以跳过证书的验证，实现如下：

新建SsX509TrustManager类，并继承X509TrustManager

public class SsX509TrustManager implementsX509TrustManager {
private static TrustManager[] trustManagers;
private static final X509Certificate[] _AcceptedIssuers = new
X509Certificate[]{};

@Override
public void checkClientTrusted(java.security.cert.X509Certificate[]x509Certificates, String s) throws java.security.cert.CertificateException {
//To change body of implemented methods use File | Settings | FileTemplates.
}

@Override
public void checkServerTrusted(java.security.cert.X509Certificate[]x509Certificates, String s) throws java.security.cert.CertificateException {
//To change body of implemented methods use File | Settings | FileTemplates.
}

public boolean isClientTrusted(X509Certificate[] chain) {
return true;
}

public boolean isServerTrusted(X509Certificate[] chain) {
return true;
}

@Override
public X509Certificate[] getAcceptedIssuers() {
return _AcceptedIssuers;
}

/**
* 允许所有的SSL请求，添加在new StringRequest()之前
*/
public static void allowAllSSL() {
HttpsURLConnection.setDefaultHostnameVerifier(new HostnameVerifier() {

@Override
public boolean verify(String arg0, SSLSession arg1) {
return true;
}

});

SSLContext context = null;
if (trustManagers == null) {
trustManagers = new TrustManager[]{new SsX509TrustManager()};
}

try {
context = SSLContext.getInstance("TLS");
context.init(null, trustManagers, new SecureRandom());
} catch (NoSuchAlgorithmException e) {
e.printStackTrace();
} catch (KeyManagementException e) {
e.printStackTrace();
}

HttpsURLConnection.setDefaultSSLSocketFactory(context.getSocketFactory());
}
}

然后在创建请求Request对象前加上一行代码：SsX509TrustManager.allowAllSSL();即可，如：

RequestQueue requestQueue =Volley.newRequestQueue(getApplicationContext());
SsX509TrustManager.allowAllSSL();
StringRequest stringRequest = newStringRequest(Request.Method.GET, "https://kyfw.12306.cn/otn/regist/init",
new Response.Listener<String>() {
@Override
public void onResponse(String s) {
// 请求成功
}
},
new Response.ErrorListener() {
@Override
public void onErrorResponse(VolleyError volleyError) {
// 请求失败
}
});
requestQueue.add(stringRequest);