使用自定义签名的https的ssl安全问题解决和metro的webservice调用

最近一直在忙新的项目，每天加班到8点多，都没来写博客了。新的项目遇到了很多问题，现在趁着突然停电来记录下调用https的问题吧。

我们服务主要是，我们调用数据源数据，并且再提供接口供外部数据调用。

我们提供给客户的接口采用https+post的方式，调用数据源的数据是以https的webservice。由于我们的签名是自签的，所以客户调用我们的接口要绕过安全认证，我们都要在sdk里面提供给他。

 private static volatile RestfulRemoteHttpsHelper instance; private ConnectionConfig connConfig; private SocketConfig socketConfig; private ConnectionSocketFactory plainSF; private KeyStore trustStore; private SSLContext sslContext; private LayeredConnectionSocketFactory sslSF; private Registry<ConnectionSocketFactory> registry; private PoolingHttpClientConnectionManager connManager; private volatile HttpClient client; private volatile BasicCookieStore cookieStore; public static String defaultEncoding= "utf-8"; private HttpsHelper(){ //设置连接参数 connConfig = ConnectionConfig.custom().setCharset(Charset.forName(defaultEncoding)).build(); socketConfig = SocketConfig.custom().setSoTimeout(100000).build(); RegistryBuilder<ConnectionSocketFactory> registryBuilder = RegistryBuilder.<ConnectionSocketFactory>create(); plainSF = new PlainConnectionSocketFactory(); registryBuilder.register("http", plainSF); //指定信任密钥存储对象和连接套接字工厂 try { trustStore = KeyStore.getInstance(KeyStore.getDefaultType()); sslContext = SSLContexts.custom().useTLS().loadTrustMaterial(trustStore, new AnyTrustStrategy()).build(); sslSF = new SSLConnectionSocketFactory(sslContext, SSLConnectionSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER); registryBuilder.register("https", sslSF); } catch (KeyStoreException e) { throw new RuntimeException(e); } catch (KeyManagementException e) { throw new RuntimeException(e); } catch (NoSuchAlgorithmException e) { throw new RuntimeException(e); } registry = registryBuilder.build(); //设置连接管理器 connManager = new PoolingHttpClientConnectionManager(registry); connManager.setDefaultConnectionConfig(connConfig); connManager.setDefaultSocketConfig(socketConfig); //指定cookie存储对象 cookieStore = new BasicCookieStore(); //构建客户端 client= HttpClientBuilder.create().setDefaultCookieStore(cookieStore).setConnectionManager(connManager).build(); }

上面代码是用httpClient4.3来绕过https的请求调用。

通过webservice调用数据源的数据由于他们有专门的信任证书签发,所以可以把他们的签名证书加入信任库。关于怎么根据keystore生成truststore可以使用jdk的keytool工具，在jdk安装目录下的bin文件夹里面。

keystore生成truststore:

通过cmd进入jdk的的bin目录下,输入keytool -export -alias 别名 -keystore client.keystore -rfc -file client.cer,会提示输入密码，别名和密码需要签名方提供。生成.cer文件，文件在jdk安装目录下。再输入keytool import -alias 别名 -file client.cer -keystore client.truststore生成truststore，记住输入的密码。

把keystore和truststore加入到信任库里。

 System.setProperty("javax.net.ssl.keyStore", keyPath); System.setProperty("javax.net.ssl.keyStorePassword", "key-password"); System.setProperty("javax.net.ssl.trustStore", trustPath); System.setProperty("javax.net.ssl.trustStorePassword", "trust-password");

如果用axis做webservice的调用framework的话就可以使用了，这次我们用的是metro。

关于metro可以参考官网。https://metro.java.net

把metro加入到gradle依赖 –> compile ‘org.glassfish.metro:webservices-rt:2.3’。

生成client代码调用？可以借助wsimport这个工具，注意在生成代码时,加上-keep 属性,不然只会生成class文件，而木有Java文件。

生成的文件目录:

把生成的client代码导入项目中，如果不出意外的话会报subject-alternative-names-present这个异常，如果是jdk8的话，用lambda表达式

HttpsURLConnection.setDefaultHostnameVerifier((hostname, session) -> hostname.equals("主机ip"));

如果是低版本，这样

HttpsURLConnection.setDefaultHostnameVerifier(new HostnameVerifier() { public boolean verify(String hostname, SSLSession session) { // ip address of the service URL(like.23.28.244.244) if (hostname.equals("主机ip")) return true; return false; } });

现在可以测试了,测试代码

 @Test public void testMetro() { StopWatch clock = new StopWatch("metro clock"); QueryService queryService = queryServiceService.getQueryService(); for (int i = 0; i < 20; i++) { clock.start("start the " + i + "connection"); String result = queryService.getMethod("xxx", "xxx", "xxx", "xxx", "xxx", "xxx", null, "xxx", null, null, null, null); System.out.println("the first number result :" + result); clock.stop(); } }

为了测试性能，用到了StopWatch 这个类做时间计时器，关于StopWatch的使用搜索一大把。测试结果的效果不怎么样，因为这样是每次调用都握手，而握手的时间太长了。为了优化可以让连接keep-alive，详情参考官网

https://metro.java.net/guide/ch05.html#http-persistent-connections-keep-alive

在Java代码里实现，后面的value值可以根据实际情况来改变。

System.setProperty("http.keepAlive", "true"); System.setProperty("http.maxConnections", "250"); System.setProperty("keep-alive.max-connections", "1000");

测试结果

使用自定义签名的https的ssl安全问题解决和metro的webservice调用