java - 调用 setDefaultHostnameVerifier 后出现 SSLHandshakeException，禁用 SSL 验证

Question

我正在尝试使用以下代码禁用 SSL 对主机名的验证:

HttpsURLConnection.setDefaultHostnameVerifier((a, b) -> true);

但是，我仍然收到通过 HTTP 请求文件的 SSLHandshakeException。

我已经尝试使用 keystore 添加网站证书，但也没有用。

Answer 1

在几乎所有情况下，握手异常都与证书的验证无关，而是由意外的协议(protocol)版本、没有共享密码、缺少 SNI 扩展、缺少客户端证书、弱 DH key ......引起的。

这意味着它无助于禁用主机名验证，无论如何这是一个坏主意，因为它实际上与禁用任何类型的证书验证相同:攻击者可以使用任何由受信任的 CA 签名的证书，无论主机名。这样的证书通常很容易获得。