java - Java 中的 HttpPut 文件上传 - 覆盖 TrustStrategy : Is there a "better/safer" way?

Question

我从根本上理解我的程序中的这段代码正在实现什么目的。然而，由于对这里发生的事情了解有限，在我看来可能有更好的方法来做到这一点。

    // Accept ALL certificates by overriding the TrustStrategy
    try {
        sslContext = SSLContexts.custom().loadTrustMaterial(null, new TrustStrategy() {
            @Override
            public boolean isTrusted(X509Certificate[] chain, String authType) throws CertificateException {
                return true;
            }
        }).useProtocol("TLSv1.2").build();
    } catch (KeyManagementException | NoSuchAlgorithmException | KeyStoreException e) {
        // TODO Auto-generated catch block
        e.printStackTrace();
    }

任何人都可以澄清这里发生的事情 - 或者提供替代方案吗？

Answer 1

此代码块的作用基本上是说“为我提供的用于 SSL 连接的任何证书都是可接受的”。

这意味着它不会验证有关证书的任何内容(它是由受信任的机构签名的，甚至是正确的名称)。

这实际上抵消了 SSL 提供的所有安全优势(理论上，您仍然可以安全地抵御读取您通信内容的纯粹被动嗅探攻击，但由于现在中间人攻击几乎是可能的，因此这种保护基本上是也毫无意义)。

避免此代码块的安全方法是仅与您信任的证书进行通信(通常因为它们是由广泛接受的证书颁发机构签名的)。