ssl - 玩 WS SSL acceptAnyCertificate=true 问题

Question

我们第一次使用 Play WS SSL 和 play.ws.ssl.loose.acceptAnyCertificate: 'true' 配置旨在禁用主机名验证。

但出于某种原因，我看到它仍然进行主机验证，并且我看到以下警告。

August 3rd 2017, 15:02:25.084   *** ClientKeyExchange, DH
August 3rd 2017, 15:02:25.083   *** Certificate chain
August 3rd 2017, 15:02:25.083   ***
August 3rd 2017, 15:02:25.083   Warning: no suitable certificate found - continuing without client authentication
August 3rd 2017, 15:02:25.083   0080: 72 70 72 69 73 65 43 41   30 31                    rpriseCA01
August 3rd 2017, 15:02:25.083   [read] MD5 and SHA1 hashes:  len = 4
August 3rd 2017, 15:02:25.083   0000: 0E 00 00 00                                        ....
August 3rd 2017, 15:02:25.083   <Empty>
August 3rd 2017, 15:02:25.083   *** ServerHelloDone

据我了解，

play.ws.ssl.loose.acceptAnyCertificate: 'true'  --> Strict validation
play.ws.ssl.loose.acceptAnyCertificate: 'false' --> Loose Validation

当我们将标志设置为 false 时，它能够从 keystore 中识别服务器证书并进行证书验证和其他检查，握手也按预期进行。

当我们使用标志 true 设置松散配置时，它无法识别服务器证书并抛出 未找到合适的证书 警告并且握手失败。

对我来说它没有任何意义，因为它在严格的情况下工作但在松散的情况下失败，这是奇怪的行为。

我可以说当标志设置为 true 时，play 使用 JDK 的 SSLEngine 实现，但如果标志为 false

有什么想法吗？

谢谢

苏雷什

Answer 1

play.ws.ssl.loose.acceptAnyCertificate: 'true' 将禁用证书验证，这是您不应该做的事情，除非您了解其中的含义(阅读 Play Framework - Loose Options 了解更多信息信息)。

要禁用主机名验证，请改用它:

play.ws.ssl.loose.disableHostnameVerification=true