Android HTTPS验证和添加http头信息token认证

 实现https信任所有证书的方法

Android平台上经常有使用https的需求，对于https服务器使用的根证书是受信任的证书的话，实现https是非常简单的，直接用httpclient库就行了，与使用http几乎没有区别。但是在大多数情况下，服务器所使用的根证书是自签名的，或者签名机构不在设备的信任证书列表中，这样使用httpclient进行https连接就会失败。解决这个问题的办法有两种，一是在发起https连接之前将服务器证书加到httpclient的信任证书列表中，这个相对来说比较复杂一些，很容易出错；另一种办法是让httpclient信任所有的服务器证书，这种办法相对来说简单很多，但安全性则差一些，但在某些场合下有一定的应用场景。这里要举例说明的就是后一种方法：实例化HttpClinet对象时要进行一些处理主要是绑定https连接所使用的端口号，这里绑定了443和8443：

上面的EasySSLSocketFactory类是我们自定义的，主要目的就是让httpclient接受所有的服务器证书，能够正常的进行https数据读取。相关代码如下：

[java]  view plain copy print ?

1. SchemeRegistry schemeRegistry = new SchemeRegistry();  
2.         schemeRegistry.register(new Scheme("http", PlainSocketFactory  
3.                 .getSocketFactory(), 80));  
4.   
5.         SSLSocketFactory sf = SSLSocketFactory.getSocketFactory();  
6.         try {  
7.             KeyStore trustStore = KeyStore.getInstance(KeyStore  
8.                     .getDefaultType());  
9.             trustStore.load(null, null);  
10.             sf = new SSLSocketFactoryEx(trustStore);  
11.             sf.setHostnameVerifier(SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER);  
12.             // 允许所有主机的验证  
13.         } catch (Exception e) {  
14.             Log.e("erro", "SSLSocketFactory Error");  
15.         }  
16.   
17.         schemeRegistry.register(new Scheme("https", sf, 443));  
18.         ThreadSafeClientConnManager cm = new ThreadSafeClientConnManager(  
19.                 httpParams, schemeRegistry);  
20. DefaultHttpClient httpClient = new DefaultHttpClient(cm, httpParams);  

[java]  view plain copy print ?

1. class SSLSocketFactoryEx extends SSLSocketFactory {  
2.   
3.         SSLContext sslContext = SSLContext.getInstance("TLS");  
4.   
5.         public SSLSocketFactoryEx(KeyStore truststore)  
6.                 throws NoSuchAlgorithmException, KeyManagementException,  
7.                 KeyStoreException, UnrecoverableKeyException {  
8.             super(truststore);  
9.   
10.             TrustManager tm = new X509TrustManager() {  
11.   
12.                 @Override  
13.                 public java.security.cert.X509Certificate[] getAcceptedIssuers() {  
14.                     return null;  
15.                 }  
16.   
17.                 @Override  
18.                 public void checkClientTrusted(  
19.                         java.security.cert.X509Certificate[] chain,  
20.                         String authType)  
21.                         throws java.security.cert.CertificateException {  
22.   
23.                 }  
24.   
25.                 @Override  
26.                 public void checkServerTrusted(  
27.                         java.security.cert.X509Certificate[] chain,  
28.                         String authType)  
29.                         throws java.security.cert.CertificateException {  
30.   
31.                 }  
32.             };  
33.   
34.             sslContext.init(null, new TrustManager[] { tm }, null);  
35.         }  
36.   
37.         @Override  
38.         public Socket createSocket(Socket socket, String host, int port,  
39.                 boolean autoClose) throws IOException, UnknownHostException {  
40.             return sslContext.getSocketFactory().createSocket(socket, host,  
41.                     port, autoClose);  
42.         }  
43.   
44.         @Override  
45.         public Socket createSocket() throws IOException {  
46.             return sslContext.getSocketFactory().createSocket();  
47.         }  
48.     }  

有时候服务器端需要传递token来验证请求来源是否是受信任的，以增强安全性：

httppost.addHeader("Authorization", "your token"); //token认证

于是  String token ="Basic " + Base64.encodeToString("your token".getBytes(), Base64.NO_WRAP);

注意，参数是 Base64.NO_WRAP，而不是Base64.DEFAULT 。而否则会返回 “400 Bad Request”，而得不到数据。