iOS10 适配 ATS（app支持https通过App Store审核） 韩俊强的博客

一. https

其实https从最终的数据解析的角度，与http没有任何的区别，https就是将http协议数据包放到ssl/tsl层后，在tcp/ip层组成ip数据报去传输，以此保证传输数据的安全；而对于接收端，在ssl/tsl将接收的数据包解密之后，将数据传给http协议层，就是普通的http数据。http和ssl/tsl都处于osi模型的应用层。从http切换到https是一个非常简单的过程，在做具体的切换操作之前，我们需要了解几个概念：

ssl/tls

为了保证这些隐私数据能加密传输，于是网景公司设计了ssl（secure sockets layer）协议用于对http协议传输的数据进行加密，从而就诞生了https。ssl目前的版本是3.0，被ietf（internet engineering task force）定义在rfc 6101中，之后ietf对ssl 3.0进行了升级，于是出现了tls（transport layer security） 1.0，定义在rfc 2246。实际上我们现在的https都是用的tls协议，但是由于ssl出现的时间比较早，并且依旧被现在所支持，因此ssl依然是https的代名词，但无论是tls还是ssl都是上个世纪的事情，ssl最后一个版本是3.0，今后tls将会继承ssl优良血统继续为我们进行加密服务。

ssl/tls协议运行机制的概述

图解ssl/tls协议

简单的来说，ssl/tsl通过四次握手。ssl协议的工作流程：

服务器认证阶段：

客户端向服务器发送一个开始信息“hello”以便开始一个新的会话连接；
服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的“hello”信息时将包含生成主密钥所需的信息；
客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；
服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。

用户认证阶段：

在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。
经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。

二. app transport security

ios9中新增app transport security（简称ats）特性, 主要使到原来请求的时候用到的http，都转向tls1.2协议进行传输。这也意味着所有的http协议都强制使用了https协议进行传输。在 ios 9 和 os x 10.11 中，默认情况下非 https 的网络访问是被禁止的。当然，因为这样的推进影响面非常广，作为缓冲，我们可以在 info.plist 中添加 nsapptransportsecurity 字典并且将 nsallowsarbitraryloads 设置为 yes 来禁用 ats。

不过，wwdc 16 中，apple 表示将继续在 ios 10 和 macos 10.12 里收紧对普通 http 的访问限制。从 2017 年 1 月 1 日起，所有的新提交 app 默认是不允许使用 nsallowsarbitraryloads 来绕过 ats 限制的，也就是说，我们最好保证 app 的所有网络请求都是 https 加密的，否则可能会在应用审核时遇到麻烦。

三. ios10 nsapptransportsecurity

通过在info.plist中配置这个键，开发者可以自定义策略。例如：

允许针对个别服务器的不安全访问。
允许不安全的 web 或媒体内容访问，但不影响整个app的ats策略。
启用新的安全特性，例如certificate transparency。
对nsapptransportsecurity的支持自 ios9.0，os x v10.11 开始，适用于 app 和 app extension。

自 ios10.0，macos 10.12 开始，增加了对下列子键的支持：

nsallowsarbitraryloadsinmediansallowsarbitraryloadsinwebcontentnsrequirescertificatetransparencynsallowslocalnetworking

ats configuration basics / ats 配置基础知识

对于使用 ios9.0， os x v10.11 sdk 及以上的 app 来说，ats（app transport security）默认开启，nsallowsarbitraryloads是字典nsapptransportsecurity的根键，默认值no。

在启用 ats 的情况下，所有的 http 请求必须为 https（rfc 2818） 连接。任何不安全的 http 请求都将失败。ats 使用 tls（transport layer security）v1.2（rfc 5246）。

下面是字典nsapptransportsecurity的总体结构，所有键都是非必填项：

 

nsapptransportsecurity : dictionary {
    nsallowsarbitraryloads : boolean
    nsallowsarbitraryloadsinmedia : boolean
    nsallowsarbitraryloadsinwebcontent : boolean
    nsallowslocalnetworking : boolean
    nsexceptiondomains : dictionary {
         : dictionary {
            nsincludessubdomains : boolean
            nsexceptionallowsinsecurehttploads : boolean
            nsexceptionminimumtlsversion : string
            nsexceptionrequiresforwardsecrecy : boolean   // default value is yes
            nsrequirescertificatetransparency : boolean
        }
    }
}

 

可以看出，所有键可以分为两类：主键，这些键用来定义 app 的总体 ats 策略；子键，即nsexceptiondomains下面的键，使用这些键针对某个域名单独配置。

主键包括：

nsallowsarbitraryloads

设置为 yes，解除整个 app 的 ats 限制；但是，通过nsexceptiondomains进 行的配置依然有效。默认值为 no。
注意：设置为 yes，会引发 app stroe 的审查，开发者必须说明原因。

nsallowsarbitraryloadsinmedia

设置为 yes，解除通过 av foundation 框架访问媒体内容时的 ats 限制；启用这个 键，务必确保载入的媒体内容已经被加密，例如受fairplay保护的文件，或者是安全的 hls流媒，其中不包含敏感的个人信息。默认为 no。

nsallowsarbitraryloadsinwebcontent

设置为 yes，解除通过 web view 发出的网络请求的 ats 限制。启用这个键，可以使 app 访问任意网页内容，但不影响 app 的总体 ats 策略。此键值默认为 no。

nsallowslocalnetworking

设置为 yes，使得 app 可以载入任意本地资源，但不影响 app 的总体 ats 策略。默 认为 no。

nsexceptiondomains

为一个或多个域名单独配置 ats。
被单独配置的域名，默认受到完全的 ats 限制，不管nsallowsarbitraryloads的值 如何；需要通过子键，进一步配置

所有的子键都属于nsexceptiondomain。向info.plist中添加这一主键：

创建字典，针对一个或多个域名，以便进行 ats 配置。这意味着之前使用主键所做的设置，对于这个域名来说，已经无效。

例如，及时之前设置nsallowsarbitraryloadsinmedia为 yes，然而nsexceptiondomain所代表的域名依然不能访问不安全的媒体内容。

基于这样的设定，可以针对域名进行 ats 配置，增加或减少安全措施。例如：

将nsexceptionallowsinsecurehttploads设置为 yes，就 ；这样做会引发 app store 的审查，详情见app store review for ats。通过配置nsexceptionrequiresforwardsecrecy为 no，取消正向保密。通过配置nsexceptionminimumtlsversion，更改 tls 最低版本。

nsexceptiondomains字典构成：

<域名字符串>
代表想要配置的特定域名。可以添加多个域名（即添加多个这样的键），为它们统一配置 ats 策略。这个键对应一个字典，包含以下子键：

nsincludessubdomains

* 设置为 yes，当前域名的 ats 策略适用于其所有子域名。默认为 no。

nsexceptionallowsinsecurehttploads

* 设置为 yes，可以同时通过 http 和 https 访问当前域名。默认为 no。
注意，配置这个键值，将引发 app store 的审查，开发者必须说明原因。

nsexceptionminimumtlsversion

* 指定 tls 的最低版本，因此可以使用版本较低，有安全漏洞的 tls 协议。
注意，配置这个键值，将引发 app store 的审查，开发者必须说明原因。

nsexceptionrequiresforwardsecrecy

* 设置为 no，允许针对当前域名使用不支持正向保密的 tls 加密算法。默认为 yes。

nsrequirescertificatetransparency

* 设置为 yes，将验证域名服务器证书的certificate transparency时间戳 。默认为 no。

requirements for connecting using ats ／ 使用 ats 的前提条件

在 ats 完全开启的情况下，要求 app 的 https 连接必须满足以下要求：

x.509 数字证书必须满足下列标准中的一项：

由操作系统内嵌的根证书颁发机构签发

由通过操作系统管理员或用户主动安装的根证书颁发机构签发tls 版本必须为1.2，任何不使用或使用较低版本 tls / ssl 的连接，都将失败。

连接必须使用 aes-128 或 aes-256 对称加密算法。 tls 算法套装必须以 ecdsa 密钥交换的形式支持正向保密，加密算法必须为下面之一：

tls_ecdhe_ecdsa_with_aes_256_gcm_sha384tls_ecdhe_ecdsa_with_aes_128_gcm_sha256tls_ecdhe_ecdsa_with_aes_256_cbc_sha384tls_ecdhe_ecdsa_with_aes_256_cbc_shatls_ecdhe_ecdsa_with_aes_128_cbc_sha256tls_ecdhe_ecdsa_with_aes_128_cbc_shatls_ecdhe_rsa_with_aes_256_gcm_sha384tls_ecdhe_rsa_with_aes_128_gcm_sha256tls_ecdhe_rsa_with_aes_256_cbc_sha384tls_ecdhe_rsa_with_aes_128_cbc_sha256tls_ecdhe_rsa_with_aes_128_cbc_sha

服务端的叶证书签名密钥必须为下面之一：

至少2048位的 rsa 密钥至少256位的 ecc 密钥此外，服务器证书的哈希算法必须为 sha-2，其摘要长度至少位256位（即 sha-256 及以上）。
上面的标准，未来可能会发生变化。但不会影响到 app 二进制包的兼容性。

app store review for ats / app store 对于 ats 相关项的审核

某些对 ats 的配置会引发 app store 的审核，开发者必须说明原因。这些键有：

nsallowsarbitraryloadsnsexceptionallowsinsecurehttploadsnsexceptionminimumtlsversion

以下是一些原因说明例子，供参考：

必须连接由其他机构控制的服务器，其还不支持安全连接。必须支持那些还未升级至可使用安全连接，不得不通过公共域名访问网络的设备。必须通过 web 展示来源不一的各种网络内容，但又不能完全使用nsallowsarbitraryloadsinwebcontent所管理的类。

向 app store 提交审核时，开发者应主动提供足够的信息，以便解释 app 无法使用安全连接的原因。

四. 实现支持安全ats策略

ats相关设置对ios8及以下系统无效

需要解决的问题（ios 9、ios10及以上）

1、app内服务器网络请求访问支持https（即一般的请求）

2、webview内支持任意http访问

3、第三方sdk接入与支持http访问

主要是围绕info.pilst配置文件作相关的安全ats策略

info.plist文件是向操作系统描述应用程序的xml属性列表,是iphone应用程序文件夹包含所有重要的info.plist文件

你可能注意到一些关键字像是使用了一些其他关键字中的词但是在前面加上了"thirdparty"字样，在功能上，这些关键字与不含有"thirdparty"的关键字有同样的效果。而且实际运行中所调用的代码将会完全忽略是否使用"thirdparty"关键字。

简单粗暴的方案：

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

nsexceptiondomains 的设置方法如下, 比如我们要将 weibo.com 这个域名排除在 ats 验证之外，就可以这样：

 

key>nsapptransportsecurity

    nsexceptiondomains
    
        weibo.com
        
             nsincludessubdomains 
            
             nsexceptionrequiresforwardsecrecy 
            
            nsexceptionallowsinsecurehttploads
            
        
    
    nsallowsarbitraryloads
    

 

注意：每个需添加的域都需要设置此三个属性。如果请求的网络图片是http，也是需要设置的图片的域。

注意??这个方案风险较大，有可能被拒绝。“需要访问的域名是第三方服务器，他们没有进行 https 对应”会是审核时的一个可选理由，但是这应该只需要针对特定域名，而非全面开放。如果访问的是自己的服务器的话，可能这个理由会无法通过。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

实现方案

1、app内服务器网络请求访问支持https

解决方案：

搭建https服务器

搭建https服务器需要ssl证书

ssl自制证书：称自签名ssl证书，容易被假冒伪造，浏览器不信任。（审核不通过）免费ca证书：部分ca机构提供免费的ssl证书，如wosign，starts等（app store pass掉不通过）付费ca证书：多指企业级及以上的数字证书。

https服务器满足ats默认的条件，而且ssl证书是通过权威的ca机构认证过的，那么我们在使用xcode开发的时候，对网络的适配什么都不用做，我们也能正常与服务器通信。但是，当我们对安全性有更高的要求时或者我们自建证书时，我们需要本地导入证书来进行验证。

使用afnetworking来支持https

afnetworking是ios/osx开发最流行的第三方开源库之一,现在ios oc 代码90%以上都是用这个框架网络请求。afnetworking已经将上面的逻辑代码封装好，甚至更完善，在afsecuritypolicy文件中，有兴趣可以这个模块的代码；以下就是在afnetworking 2.6.0以前版本和3.0.0版本基于支持https的验证方式

步骤：

新建一个manager在mainbundle中寻找我们刚才拖进项目中的https.cer, 并且将相关的数据读取出来新建一个afsecuritypolicy，并进行相应的配置将这个afsecuritypolicy 实例赋值给manager

代码实现：

 

nsurl * url = [nsurl urlwithstring:@"https://www.google.com"];
afhttprequestoperationmanager * requestoperationmanager = [[afhttprequestoperationmanager alloc] initwithbaseurl:url];
dispatch_queue_t requestqueue = dispatch_create_serial_queue_for_name("krequestcompletionqueue");
requestoperationmanager.completionqueue = requestqueue;

afsecuritypolicy * securitypolicy = [afsecuritypolicy policywithpinningmode:afsslpinningmodecertificate];

//allowinvalidcertificates 是否允许无效证书（也就是自建的证书），默认为no
//如果是需要验证自建证书，需要设置为yes
securitypolicy.allowinvalidcertificates = yes;

//validatesdomainname 是否需要验证域名，默认为yes；
//假如证书的域名与你请求的域名不一致，需把该项设置为no；如设成no的话，即服务器使用其他可信任机构颁发的证书，也可以建立连接，这个非常危险，建议打开。
//置为no，主要用于这种情况：客户端请求的是子域名，而证书上的是另外一个域名。因为ssl证书上的域名是独立的，假如证书上注册的域名是www.google.com，那么mail.google.com是无法验证通过的；当然，有钱可以注册通配符的域名*.google.com，但这个还是比较贵的。
//如置为no，建议自己添加对应域名的校验逻辑。
securitypolicy.validatesdomainname = yes;
//validatescertificatechain 是否验证整个证书链，默认为yes
//设置为yes，会将服务器返回的trust object上的证书链与本地导入的证书进行对比，这就意味着，假如你的证书链是这样的：
//geotrust global ca 
//    google internet authority g2
//        *.google.com
//那么，除了导入*.google.com之外，还需要导入证书链上所有的ca证书（geotrust global ca, google internet authority g2）；
//如是自建证书的时候，可以设置为yes，增强安全性；假如是信任的ca所签发的证书，则建议关闭该验证，因为整个证书链一一比对是完全没有必要（请查看源代码）；
securitypolicy.validatescertificatechain = no;

requestoperationmanager.securitypolicy = securitypolicy;

另afnetworking 3.0.0以上版本用的是afhttpsessionmanager

 afhttpsessionmanager * manager = [afhttpsessionmanager manager];
    nsstring * cerpath = [[nsbundle mainbundle] pathforresource:@"server" oftype:@"cer"];
    nsdata * cerdata = [nsdata datawithcontentsoffile:cerpath];
    nslog(@"%@", cerdata);
    manager.securitypolicy = [afsecuritypolicy policywithpinningmode:afsslpinningmodecertificate withpinnedcertificates:[[nsarray alloc] initwithobjects:cerdata, nil]];
    manager.securitypolicy.allowinvalidcertificates = yes;
    [manager.securitypolicy setvalidatesdomainname:no];
    manager.requestserializer = [afjsonrequestserializer serializer];
    manager.responseserializer = [afjsonresponseserializer serializer];
    nsdictionary * parameter = @{@"username":self.username, @"password":self.password};
    [manager post:@"https://192.168.1.4:9777" parameters:parameter success:^(nsurlsessiondatatask * task, id responseobject) {
        nslog(@"success %@", responseobject);
        }
        failure:^(nsurlsessiondatatask * task, nserror * error) {
            nslog(@"failure %@", error);
        }]

    nsapptransportsecurity
    
        nsallowsarbitraryloads //设置为 yes，解除整个app的ats限制；但是通过nsexceptiondomains进行的配置依然有效
        
        nsallowsarbitraryloadsinmedia //设置为 yes，解除通过avfoundation框架访问媒体内容时的 ats 限制
        
        nsallowsarbitraryloadsinwebcontent //设置为 yes，解除通过webview发出的网络请求的ats限制
        
        nsallowslocalnetworking //设置为 yes，使得app可以载入任意本地资源，但不影响app的总体 ats 策略
        

 

2、webview内支持任意http访问

对于网页浏览和视频播放的行为，ios 10 中新加入了 nsallowsarbitraryloadsinwebcontent 键。通过将它设置为 yes，可以让 app 中的 wkwebview 和使用 avfoundation 播放的在线视频不受 ats 的限制。这也应该是绝大多数使用了相关特性的 app 的选择。但是坏消息是这个键在 ios 9 中并不会起作用。

如果app只支持 ios 10，并且有用户可以*输入网址进行浏览的功能，或者是在线视频音频播放功能的话，简单地加入 nsallowsarbitraryloadsinwebcontent，并且将换成 wkwebkit 或者 avfoundation 就可以了。如果你还需要支持 ios 9，并且需要访问网页和视频的话，可能只能去开启 nsallowsarbitraryloads 然后提交时进行说明，并且看 apple 审核员决定让不让通过了。

另外，当 nsallowsarbitraryloads 和 nsallowsarbitraryloadsinwebcontent 同时存在时，根据系统不同，表现的行为也会不一样。简单说，ios 9 只看 nsallowsarbitraryloads，而 ios 10 会先看 nsallowsarbitraryloadsinwebcontent。在 ios 10 中，要是 nsallowsarbitraryloadsinwebcontent 存在的话，就忽略掉 nsallowsarbitraryloads，如果它不存在，则遵循 nsallowsarbitraryloads 的设定

uiwebview 在 nsallowsarbitraryloadsinwebcontent 为 yes 时访问 http，无效。wkwebview 在 nsallowsarbitraryloadsinwebcontent 为 yes 时在ios 10 中访问 http，有效，ios 9无效。如果用wkwebview替换uiwebview，ios 7 将无法使用wkwebview，可做适配加载，没有特殊的什么需求的话，尽早将 uiwebview 全部换为 wkwebview 会比较好。所以为了能让webview在所有版本都能访问非https内容，只能把nsallowsarbitraryloads设置为yes。

解决方案一：

开启 nsallowsarbitraryloads 为 yes，然后提交时进行说明

解决方案二：

设置 nsexceptiondomains 属性来访问指定域名，然后提交时进行说明

3、第三方sdk接入与支持http访问

但是按照国内的现状，关闭这个限制也许是更实际的做法。至于原因就太多了，第三方sdk（几乎都是访问http），合作伙伴接入（不能要求它们一定要支持https）

第三方sdk，同样需要遵守ats规则，即第三方sdk也有被ats过滤的风险，微信，qq，分享，登陆功能都能正常，微博登陆不能正常通过。另在网上找到了一些可能存在有问题的sdk，目前已知的有：

友盟 （已经有最新的v1.4.0版本sdk，支持https，待验证）百度地图

解决方案一：

更新最新sdk，接入并测试

解决方案二：

可以设置 nsexceptiondomains属性来将需要排除强制验证的域名写进来：

五. 总结

开启 nsallowsarbitraryloads 为 yes

对第三方访问的服务器设置nsexceptiondomains方式添加白名单

提交审核说明：

必须连接由其他机构控制的服务器，其还不支持安全连接。

必须通过 web 展示来源不一的各种网络内容，但又不能完全使用nsallowsarbitraryloadsinwebcontent所管理的类。