在 iOS 中，如果固定的 SSL 證書過期，我是否需要重新提交應用程序？

Question

在 iOS 中，如果固定的 SSL 證書過期，我是否需要重新提交應用程序？ 舊版本的應用程序會繼續工作還是除非更新才能工作？

Answer 1

這完全取決於您如何固定證書。 固定證書意味着根據一組確定是否應接受新證書的指定要求檢查證書及其鏈。 幾乎有無數種方法可以做到這一點，因此幾乎有無數種方法可以在這樣做的同時用腳射擊自己。

通常：

• 如果您正在檢查證書的公鑰是否匹配，只要新證書具有相同的公鑰就可以了。 這通常是最簡單的正確方法，因為您有能力保證在您直接控制下的鍵不會改變。 但是，請注意，某些自動證書更新工具默認會生成新密鑰。
• 如果您比較整個證書，它可能會損壞，因為顯然證書的某些方面（至少是到期日期）會發生變化。
• 如果您正在比較證書的特定方面，例如簽署它的 CA 證書的公鑰，它可能會或可能不會損壞，具體取決於這些指定的要求是否匹配。

但是請注意，CA 會定期輪換其簽名密鑰，以在密鑰遭到破壞時限制損壞。 這意味着您固定的特定 CA 證書密鑰可能不是用於簽署后續證書的密鑰。 如果您以自動化方式執行此操作，則不是您是否會中斷的問題，而是何時中斷的問題。

出於這個原因，如果您覺得需要進行密鑰固定，強烈建議您只固定在您直接控制下的密鑰，並強制任何自動更新工具重復使用現有的密鑰對。

Answer 2

不。一旦您在您的站點上安裝 ssl 或更新舊站點，它就會開始工作。 無需重新提交應用程序。

在SSL 固定和證書到期中閱讀更多信息