iOS对Https的深入探究

*流程目录

 1.客户端调用网址www.domain.com，连接到服务器的443端口
 2.服务器返回一个证书(包括公钥,和证书信息，如证书颁发机构，过期时间等)，证书由服务器所拥有的的私钥非对称加密生成。
 3.客户端对证书进行验证(首先会验证证书是否有效，比如颁发机构，过期时间等等)
 4.如果客户端验证通过，客户端生成一个随机数，在用服务器返回的证书（公钥）进行加密传输
 5.因为公钥是通过服务器的私钥生成，所以服务器是可以对客户端传回的加密数据进行对称解密。服务器逻辑处理完，用服务器拿到由客户端生成的随机数，对要传递回去的数据使用随机数加密
 6.客户端收到服务器使用随机数加密的数据进行解密。
 ->对于app很多研究https的同学来说，查阅了大量的资料，接收到的信息量太大，容易混淆获取证书跟证书校验等很多概念，结合代码调试可能会有点断片，事实是这样的。
 ->app开发过程中，我们的app通常只跟一个服务器进行交互，所以就没必要每次请求都从服务器获取证书(公钥),一般直接将服务器生成的证书(公钥)放在App中,请求时只要直接跟服务器返回的证书公钥进行对比，验证通过则使用公钥进行加密，然后传递回服务器。即使app通信被中间人截取，冒充服务器，但是没有对应的私钥，截获的信息也无法解密，保护了传递的信息的安全。

1.名词解释:

1. NSURLAuthenticationChallenge: 封装了服务器需要验证客户端的证书。
   - Authentication Challenges 指验证SSL中证书
   - [URLSession:task:didReceiveChallenge:completionHandler:]是为了让我们决定怎么响应Authentication Challenges. 这个代理方法有三种选其中一种提供一个认证凭证（NSURLCredential对象)
   - 你可以通过提供NSURLCredential对象来做身份验证工作。具体怎么处理取决于你使用的API和认证类型。

  *一般不创建身份认证对象(NSURLAuthenticationChallenge),当要对自定义的网络协议支持时创建此对象。
  *当应用在NSURLSession，NSURLConnection和NSURLDownload的代理方法中收到身份验证问题，如 URLSession:task:didReceiveChallenge:completionHandler：这些对象提供了如何处理服务器身份验证请求时需要的信息。
  *身份认证的核心内容:定义请求的1.身份验证类型2.主机和端口号3.网络协议以及（在适用的情况下）认证领域（同一服务器上的一组相关URL）一套凭证）的保护空间.

2. AFSecurityPolicy: 验证 HTTPS 请求的证书是否有效 
   AFSecurityPolicy封装了证书验证的过程，让用户可以轻易使用，除了去系统信任CA机构列表验证，还支持SSL Pinning方式的验证
    
    typedef NS_ENUM(NSUInteger, AFSSLPinningMode) {
     //不使用固定证书（本地）验证服务器。直接从客户端系统中的受信任颁发机构 CA 列表中去验证
    AFSSLPinningModeNone,

    // 代表会对服务器返回的证书中的PublicKey进行验证，通过则通过，否则不通过
    AFSSLPinningModePublicKey,

    // 代表会对服务器返回的证书同本地证书全部进行校验，通过则通过，否则不通过
    AFSSLPinningModeCertificate,
    };
3. NSURLCredential : 包含服务器预期的格式的身份验证信息
  - 通过challenge.protectionSpace.authenticationMethod类型(大部分app支持https只需要验证服务端的真实性，验证服务端证书NSURLAuthenticationMethodServerTrust)决定提供什么样的NSURLCredential对象
  - App 将SecTrustRef对象通过
    bool b=[self.securityPolicy evaluateServerTrust:challenge.protectionSpace.serverTrust forDomain:challenge.protectionSpace.host]
  - 验证通过,创建 NSURLCredential对象  
    NSURLCredential *credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
  - 回传给服务端
   [[challenge sender] useCredential:credential forAuthenticationChallenge:challenge];

2.执行流程（基于AFN）：

1. willSendRequestForAuthenticationChallenge
2. [challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]
3. -(BOOL)evaluateServerTrust:(SecTrustRef)serverTrust
                  forDomain:(NSString *)domain
   //加入的domain的验证。SSL域名检查,每个证书都会包含一个DomainName, 它可以是一个IP地址，一个域名或者一    端带有通配符的域名。如*[.google.com] 
4. validatesDomainName 是指是否设置validatesDomainName=YES将严格地保证其安全性。
   [policies addObject:(__bridge_transfer id)SecPolicyCreateSSL(true, (__bridge CFStringRef)domain)];
    //设置验证策略,SSL证书策略,调用SecTrustSetPolicies来重新设置校验策略，主要是用于使用IP进行HTTPS请求
5. SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef)policies);
   //AFServerTrustIsValid 或  AFPublicKeyForCertificate
      //创建SecTrucstRef对象，如果出错就跳转到_out
6. __Require_noErr_Quiet(SecTrustCreateWithCertificates(tempCertificates, policy, &allowedTrust), _out);
     //证书校验，出错_out
    __Require_noErr_Quiet(SecTrustEvaluate(allowedTrust, &result), _out);
    //对于 AFPublicKeyForCertificate  不出错会拿到一个   allowedPublicKey = (__bridge_transfer id)SecTrustCopyPublicKey(allowedTrust);
   //对于AFServerTrustIsValid  来说 直接返回是否验证通过   isValid = (result == kSecTrustResultUnspecified || result == kSecTrustResultProceed);
    //创建身份
7. NSURLCredential *credential = [NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust];
  //回传
8. [[challenge sender] useCredential:credential forAuthenticationChallenge:challenge];