在 iOS 中，如果固定的 SSL 证书过期，我是否需要重新提交应用程序？

Question

在 iOS 中，如果固定的 SSL 证书过期，我是否需要重新提交应用程序？ 旧版本的应用程序会继续工作还是除非更新才能工作？

Answer 1

这完全取决于您如何固定证书。 固定证书意味着根据一组确定是否应接受新证书的指定要求检查证书及其链。 几乎有无数种方法可以做到这一点，因此几乎有无数种方法可以在这样做的同时用脚射击自己。

通常：

• 如果您正在检查证书的公钥是否匹配，只要新证书具有相同的公钥就可以了。 这通常是最简单的正确方法，因为您有能力保证在您直接控制下的键不会改变。 但是，请注意，某些自动证书更新工具默认会生成新密钥。
• 如果您比较整个证书，它可能会损坏，因为显然证书的某些方面（至少是到期日期）会发生变化。
• 如果您正在比较证书的特定方面，例如签署它的 CA 证书的公钥，它可能会或可能不会损坏，具体取决于这些指定的要求是否匹配。

但是请注意，CA 会定期轮换其签名密钥，以在密钥遭到破坏时限制损坏。 这意味着您固定的特定 CA 证书密钥可能不是用于签署后续证书的密钥。 如果您以自动化方式执行此操作，则不是您是否会中断的问题，而是何时中断的问题。

出于这个原因，如果您觉得需要进行密钥固定，强烈建议您只固定在您直接控制下的密钥，并强制任何自动更新工具重复使用现有的密钥对。

Answer 2

不。一旦您在您的站点上安装 ssl 或更新旧站点，它就会开始工作。 无需重新提交应用程序。

在SSL 固定和证书到期中阅读更多信息