在Android上使用OkHttp證書固定來處理站點證書到期

Question

我有一個應用程序，其中的站點證書哈希值固定在OkHttp3上，類似於此處提到的方法

不過，該站點證書即將到期，我意識到，我需要在切換該站點上的更新后立即支持新的站點證書，並讓當前的站點證書一直工作到那時。 有沒有一種方法可以為同一站點固定2個證書，以便無縫地支持這兩個證書（即，當當前證書到期並且一個證書不再有效時，以及新證書在更新時就失效了）？

TIA

Answer 1

這是CertificatePinner記錄的行為。 因此，只需添加當前和舊證書的密碼即可。

http://square.github.io/okhttp/3.x/okhttp/okhttp3/CertificatePinner.html#check-java.lang.String-java.util.List-

確認固定在主機名中的證書中至少有一個在peerCertificates中。 如果沒有為主機名固定證書，則不執行任何操作。 OkHttp在TLS握手成功之后但在使用連接之前調用此方法。

注意：由於證書可能會在舊客戶端更新之前發生過期，因此通常建議您也對使用的CA加以限制，這在新舊證書之間很可能是一致的。 這將確保即使您當前的證書和下一個證書已過期或被吊銷，您也可以使用生成的新證書和較舊的客戶端進行身份驗證。

https://community.letsencrypt.org/t/hpkp-best-practices-if-you-choose-to-implement/4625