将SSL服务器证书下载到iOS / Android应用

Question

我们已经开发了适用于iOS和Android的应用程序，可通过REST调用与服务器进行通信。 为了使用户能够首次登录该应用程序，他们必须首先下载服务器的SSL证书（通过浏览器上的https连接或使用openssl，以DER格式下载），然后手动将证书加载到文件夹中在设备上（通过将设备连接到计算机并访问其存储）。 该应用程序在登录时将检查该文件夹，如果其中存在正确的证书，则用户将能够登录...任何后续登录，用户将不必再次加载证书。

现在我想知道是否有一种方法可以使上面概述的手动过程自动化？ 这是一个非常繁琐的过程，尤其是对于移动应用程序而言。

例如，连接到服务器并将证书直接下载到设备...但是这种方法是否存在安全风险？

谢谢

Answer 1

尝试这个

HostnameVerifier hostnameVerifier = org.apache.http.conn.ssl.SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER;
            DefaultHttpClient client = new DefaultHttpClient();
            SchemeRegistry registry = new SchemeRegistry();
            SSLSocketFactory socketFactory = SSLSocketFactory
                    .getSocketFactory();
            socketFactory
                    .setHostnameVerifier((X509HostnameVerifier) hostnameVerifier);
            registry.register(new Scheme("https", socketFactory, 443));
            SingleClientConnManager mgr = new SingleClientConnManager(
                    client.getParams(), registry);
            // defaultHttpClient
            DefaultHttpClient httpClient = new DefaultHttpClient(mgr,
                    client.getParams());
            HttpsURLConnection.setDefaultHostnameVerifier(hostnameVerifier);