macos - 在 MacOSX 上，当指定无效的身份验证凭据时，QNetworkAccessManager 会进入无限循环

Question

在我的跨平台应用程序中，我使用 QNetworkAccessManager 将 HTTP 请求发送到需要身份验证的 HTTP 服务。我最近升级到 QT5，令我完全惊讶的是，在 MacOSX 上，我的应用程序会在某些情况下尽快向我的服务发送大量请求。

经过一些调试后，事实证明，只有当我在请求中指定错误的身份验证凭据时才会发生这种情况。如果我的 HTTP 请求中指定了无效的用户名/密码，QNetworkAccessManager 将无限期地向我的服务重新发送请求。

我的代码在以前的 QT 版本中已经运行了很长时间，所以我决定它必须是 QT5 的东西。

Answer 1

我偶然发现了 QT5 中添加的以下增强功能:https://bugreports.qt.io/browse/QTBUG-22033

基本上，此增强操作系统背后的想法是检查钥匙串(keychain)中的用户名/密码(如果中间代理需要身份验证凭据)。事实证明，这实现得很糟糕，并且此代码已添加到 QNetworkAccessManager::authenticationRequired() 信号中，而不是添加到 proxyAuthenticationRequired() 信号中。

这个问题有趣的部分是我没有为我的应用程序或我使用的 QNetworkAccessManager 设置代理。这使得这个问题很难调试!

由于放置不当，任何authenticationRequired 信号都会发生这种“钥匙串(keychain)查询”。底层的 getProxyAuth() 方法正在使用空白主机名调用“SecKeychainFindInternetPassword”，该主机名与我的钥匙串(keychain)中的第一个“Internet 密码”匹配，并使用它使用此新凭据向我的服务发送请求。想象一下，当我看到我的其他/个人密码之一被发送到我的 HTTP 服务时，我有多惊讶!

这不仅是一个安全问题，还会导致您的应用程序出现无限循环。我用 QT 打开了一个关于此的错误:https://bugreports.qt.io/browse/QTBUG-30434

有临时解决办法吗？有!我花了一段时间寻找这个问题的解决方法。这是一个令人讨厌的黑客行为。但在 QT 人员做好准备之前，这种方法是有效的。这个黑客之所以有效，是因为它确保“SecKeychainFindInternetPassword”与钥匙串(keychain)中的任何条目都不匹配，因此跳过“钥匙串(keychain)查询”。

基本上，我将代理主机名设置为“”而不是“”，这将防止任何导致我的应用程序中无限循环的匹配。

解决方法:

 QNetworkProxy proxy = manager_->proxy();
 proxy.setHostName(" ");
 manager_->setProxy(proxy);

我希望这个问题在 QT 的下一版本中得到解决，这样我就可以删除这个可怕的黑客行为。