java - 使用 sun.net.**.HttpsClient 以编程方式暂时禁用 JAX-RS 客户端中的 SNI 检查

Question

我得到旧的 HTTP transport error: javax.net.ssl.SSLProtocolException: handshake alert: unrecognized_name由于原因，我需要禁用 SNI 握手的服务出错。我不想在全局范围内使用 System.setProperty("jsse.enableSNIExtension", "false");正如其他地方所建议的那样，http 绑定(bind)使用 sun.net.www.protocol.https.HttpsClient我似乎无法改变这一点。我试过像 https://erikwramner.wordpress.com/2013/03/27/trust-self-signed-ssl-certificates-and-skip-host-name-verification-with-jax-ws/ 这样的方法

我在其中设置了自定义 SSLSocketFactories 和 HostnameVerifiers，如下所示:

 BindingProvider bp = (BindingProvider) webServicePort;
            Map requestContext = bp.getRequestContext();
            requestContext.put("com.sun.xml.internal.ws.transport.https.client.SSLSocketFactory", getTrustingSSLSocketFactory());
            requestContext.put("com.sun.xml.ws.transport.https.client.SSLSocketFactory", getTrustingSSLSocketFactory());
            final NaiveHostnameVerifier naiveHostnameVerifier = new NaiveHostnameVerifier();
            requestContext.put("com.sun.xml.internal.ws.transport.https.client.hostname.verifier", naiveHostnameVerifier);
            requestContext.put("com.sun.xml.ws.transport.https.client.hostname.verifier", naiveHostnameVerifier);

这根本没有效果，因为 http 客户端似乎不尊重这些属性。

任何提示表示赞赏!

Answer 1

我有同样的问题...激活java.net.debug系统属性到 all我已经确定问题在于服务器以某种方式配置错误(它接受协商 SNI 握手，但不接受我们为其名称传递的名称 --- 我们用来连接它的名称)这通常是服务器配置错误，因为服务器响应 unrecognized_name为它自己的名字，这会导致客户端断开连接(java维护者假设服务器必须知道我们用来连接它的名字)。HostnameVerifier 没问题无论如何，由于客户端尚未验证服务器名称(并且是主机名验证程序曾经使用过的)，正如它在握手中所呈现的那样(实际上，客户端在 SERVER HELLO 握手之后中止连接)。在警告(SSL 协议(protocol)的错误 112)之后，客户端正在断开连接，因此客户端握手应该配置为在此类事件上继续。现在服务器正在断开连接，并且本地没有进行服务器主机名验证，我们只需要设置 在服务器发出警告消息后继续进行初始握手 .因为我没有 SSLSocketImpl 的源代码此刻上课，我无法进一步调查这个问题，所以我可能会再次提供更多信息，一旦我获得源代码并测试 还有另一种方法可以设置 SSLSocketImpl 的属性实例而不是从系统属性配置中获取它。
主要让人们感到困惑的是，SNI 握手用于允许服务器在握手中使用多域(或虚拟主机)，因此它通常配备一个设计合理的证书(这是失败的)，为使用的客户端提供备用 dns 条目名字。由于名称列表为空或只有主机的规范名称，因此无法识别客户端使用的名称并将其返回给客户端(应将其解释为警告)，但 java 的默认实现，取决于系统的属性, 继续或断开连接。应该启用基于每个连接进行配置的另一种方法，但我还不知道。
编辑
查看openjdk源代码后(对不起，但是Oracle的实现没有发布 ClientHandshaker 类的代码，内部字段enableSNIextension(private，final和static字段，所以没有一旦类被初始化，就有机会改变它)被初始化。这使得算法只以一种方式运行，一旦你加载了ClientHandshaker类。
因为仅检查该值以在初始 helloclient 中包含可选的 SNI 扩展名。消息，它的答案是固定的，所以一旦它默认为 true 就绕过它的唯一方法是在服务器上配置正确的证书，包括备用服务器名称列表中的正确服务器名称，或者完全禁用服务器中的 SNI 协商 .你可以看看openJDK的实现源码here .
编辑 2
还有一种更复杂的方法，它允许您仅对一个连接禁用 SNI 扩展，并暗示使用 SSLConnectionSocketFactory像这样的派生工厂:

SSLConnectionSocketFactory sslsf =
    new SSLConnectionSocketFactory( 
          ctx,  // specific context, or default
          SSLConnectionSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER  // important, see the text below
    ) {
                @Override
                public Socket connectSocket( int connectTimeout,
                                             Socket socket,
                                             HttpHost host,
                                             InetSocketAddress remoteAddress,
                                             InetSocketAddress localAddress,
                                             HttpContext context )
                    throws IOException {
                    return super.connectSocket( connectTimeout,
                                                socket,
                                                new HttpHost( remoteAddress.getAddress(),
                                                              remoteAddress.getPort() ),
                                                remoteAddress,
                                                localAddress,
                                                context );
                }

            };
CloseableHttpClient cl =
    HttpClients.custom()
               .setSSLSocketFactory( sslsf )
               .build();

正如您将看到的，这使用纯地址连接到套接字，因此没有使用主机名来传递给远程服务器，从而有效地禁止了 SNI。它有一个缺点，您需要使用匹配所有主机名 validator (如上所示)来构造它，因为它将无法验证服务器名称(这是在 SSLConnectionSocketFactory 父类(super class)中完成初始握手之后进行的，并且失败，因为使用的地址与服务器在其证书中使用的主机名不匹配)