我正在尝试覆盖 Android 中的信任管理器。我想让底层信任管理器检查证书，但我需要确定证书是否已过期。如果证书已过期，我需要忽略它并接受证书。如果取出电池，某些移动设备会将日期重置为旧日期，导致证书看起来好像已过期。即使发生这种情况，我的应用程序也必须继续运行。

我遇到的问题是这行代码抛出 NullPointerException:

origTrustmanager.checkServerTrusted(certs, authType);

根据文档，checkServerTrusted 永远不应抛出 NullPointerExeption。证书中有两个项目。 authType 设置为“RSA”。如果我不实现自定义信任管理器，则会抛出一个异常，清楚地表明证书已过期，因此我知道底层信任管理器正在执行其工作。即使我将设备上的日期和时间设置在证书的有效期内，上面的 checkServerTrusted 行也会生成异常。为什么？显然我做错了什么。这是我的自定义信任管理器的代码以及我如何访问 Url:

class SSLTrustManager
{
  private X509TrustManager origTrustmanager;

  public SSLTrustManager()
  {
    try
    {
      TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
      tmf.init((KeyStore) null);
      TrustManager[] trustManagers = tmf.getTrustManagers();
      this.origTrustmanager = (X509TrustManager) trustManagers[0];
    }
    catch (Exception ex)
    {
    }
  }

  public javax.net.ssl.SSLSocketFactory GetSocketFactory()
  {
    try
    {
      TrustManager[] wrappedTrustManagers = new TrustManager[] {
          new X509TrustManager()
          {
            public java.security.cert.X509Certificate[] getAcceptedIssuers()
            {
              return origTrustmanager.getAcceptedIssuers();
            }

            public void checkClientTrusted(X509Certificate[] certs, String authType)
            {
              try
              {
                origTrustmanager.checkClientTrusted(certs, authType);
              }
              catch (CertificateException e)
              {
              }
            }

            public void checkServerTrusted(X509Certificate[] certs, String authType) throws CertificateException
            {
              try
              {
                origTrustmanager.checkServerTrusted(certs, authType);
              }
              catch(Exception ex)
              {
              }
            }
          }
       };

      SSLContext sslContext = SSLContext.getInstance("SSL");
      sslContext.init(null, wrappedTrustManagers, new java.security.SecureRandom());
      javax.net.ssl.SSLSocketFactory sslSocketFactory = sslContext.getSocketFactory();
      return sslSocketFactory;
    }
    catch (Exception ex)
    {
      return null;
    }
  }
}    

访问url的代码:

SSLTrustManager sslTrustManager = new SSLTrustManager();
HttpsURLConnection.setDefaultSSLSocketFactory(sslTrustManager.GetSocketFactory());

URL siteUrl = new URL(url);
HttpsURLConnection conn = (HttpsURLConnection) siteUrl.openConnection();
conn.setRequestMethod("POST");
conn.setDoOutput(true);
conn.setDoInput(true);

DataOutputStream out = new DataOutputStream(conn.getOutputStream());

最佳答案

如果您从未初始化 origTrustmanager 实例变量，它将具有其默认值 null，这确实会在您尝试使用它时随时导致 NPE .

我刚刚编辑了 my previous answer在此显示 TrustManager 初始化的示例。 (我没有在 Android 上试过，但它在纯 Java 上运行良好。)

注意不要钓太多。在这里，您在信任管理器中捕获了 CertificateException 和 Exception:这与什么都没有一样好，因为这些方法旨在抛出这些异常。如果您想忽略到期日期，请确保只捕获 CertificateExpiredException。

请注意，这只是一个技巧，它依赖于这样一个事实，即在实践中，证书验证是在一般信任验证之后完成的(至少在 OpenJDK 实现中是这样)。据我所知，规范中没有任何内容表明证书过期是在之后 验证的。它是在对信任元素进行其他验证之前完成的，并且您忽略了该异常，您可以让更多的证书通过。

关于android - 覆盖 Android 中的 SSL 信任管理器，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/13742028/