iphone - 我们如何告诉 CFStream 使用一组 anchor 证书？

Question

我知道我们可以在给定 SecTrustRef 的情况下使用 SecTrustSetAnchorCertificates()。但是使用 CFStreams，我们只能在握手后才能获得信任对象。一种解决方法似乎是使用 kCFStreamSSLValidatesCertificateChain 属性禁用 CFStream 上的证书链验证，然后使用 kCFStreamPropertySSLPeerCertificates 获取对等证书，从这些证书创建信任并自行评估信任。

但是如果我们可以告诉 CFStream 使用一组证书作为 anchor ，那会更清晰。我希望太多了吗？

Answer 1

来自 Apple Devforums 的 eskimo1 是这样回答的:

首先，使用 kCFStreamSSLValidatesCertificateChain 禁用自动信任评估。

其次，一旦流启动并运行(我通常在“可以接受字节”或“有字节可用”消息处理中执行此操作)，使用 kCFStreamPropertySSLPeerTrust 从流中获取 SecTrust 对象并自行评估该信任。如果信任评估失败，则拆除流。