ssl - 是否有正当理由忽略无效/无效的 SSL 证书(在处理付款处理时)？

Question

所以我从银联那里得到了这个dll，用于一个与中国的电子商务项目，并被要求审查。将其放入 ILSpy 后，我不禁注意到以下方法:

private static bool RemoteCertificateCallback(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors)
{
     return true;
}

现在，据我了解，此类回调的目的是允许无效或空的 SSL 证书 - 我自己为单元测试添加了类似的支持。

(这种事情让我高度怀疑 CHR 政府干预允许有意的中间人监控交易。)

支付处理商支持无效/无效证书是否有正当理由？

Answer 1

Is there any legitimate reason for a payment processor to support null/invalid certs?

什么都没有。你在一个黑暗的房间里和任何人举行 secret 皈依。您也可以使用明文。请参阅 RFC 2246 中关于未验证 SSL 的评论.我完全同意@SLaks。