jeffxun

    Java使用NIO进行HTTPS协议访问的时候,离不开SSLContext和SSLEngine两个类。我们只需要在Connect操作、Connected操作、Read和Write操作中加入SSL相关的处理即可。

一、连接服务器之前先初始化SSLContext并设置证书相关的操作。

1 public void Connect(String host, int port) {
2     mSSLContext = this.InitSSLContext();
3     super.Connect(host, port);  
4 }

    在连接服务器前先创建SSLContext对象,并进行证书相关的设置。如果服务器不是使用外部公认的认证机构生成的密钥,可以使用基于公钥CA的方式进行设置证书。如果是公认的认证证书一般只需要加载Java KeyStore即可。

    1.1 基于公钥CA

 1 public SSLContext InitSSLContext() throws NoSuchAlgorithmException{
 2   // 创建生成x509证书的对象
 3   CertificateFactory caf = CertificateFactory.getInstance("X.509");
 4   // 这里的CA_PATH是服务器的ca证书,可以通过浏览器保存Cer证书(Base64和DER都可以)
 5   X509Certificate ca = (X509Certificate)caf.generateCertificate(new FileInputStream(CA_PATH));
 6   KeyStore caKs = KeyStore.getInstance("JKS");
 7   caKs.load(null, null);
 8   // 将上面创建好的证书设置到仓库里面,前面的`baidu-ca`只是一个别名可以任意不要出现重复即可。
 9   caKs.setCertificateEntry("baidu-ca", ca);
10   TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
11       tmf.init(caKs);
12   // 最后创建SSLContext,将可信任证书列表传入。
13   SSLContext context = SSLContext.getInstance("TLSv1.2");
14   context.init(null, tmf.getTrustManagers(), null);
15   return context;
16 }

    1.2 加载Java KeyStore

 1 public SSLContext InitSSLContext() throws NoSuchAlgorithmException{
 2   // 加载java keystore 仓库
 3   KeyStore caKs = KeyStore.getInstance("JKS");
 4   // 把生成好的jks证书加载进来
 5   caKs.load(new FileInputStream(CA_PATH), PASSWORD.toCharArray());
 6   // 把加载好的证书放入信任的列表
 7   TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
 8   tmf.init(caKs);
 9   // 最后创建SSLContext,将可信任证书列表传入。
10   SSLContext context = SSLContext.getInstance("TLSv1.2");
11   context.init(null, tmf.getTrustManagers(), null);
12   return context;
13 }

二、连接服务器成功后,需要创建SSLEngine对象,并进行相关设置与握手处理。

    通过第一步生成的SSLContext创建SSLSocketFactory并将当前的SocketChannel进行绑定(注:很多别人的例子都没有这步操作,如果只存在一个HTTPS的连接理论上没有问题,但如果希望同时创建大量的HTTPS请求“可能”有问题,因为SSLEngine内部使用哪个Socket进行操作数据是不确定,如果我的理解有误欢迎指正)。

    然后调用创建SSLEngine对象,并初始化操作数据的Buffer,然后开始进入握手阶段。(注:这里创建的Buffer主要用于将应用层数据加密为网络数据,将网络数据解密为应用层数据使用:“密文与明文”)。

 1 public final void OnConnected() {
 2   super.OnConnected();
 3   // 设置socket,并创建SSLEngine,开始握手
 4   SSLSocketFactory fx = mSSLContext.getSocketFactory();
 5   // 这里将自己的channel传进去
 6   fx.createSocket(mSocketChannel.GetSocket(), mHost, mPort, false);
 7   mSSLEngine = this.InitSSLEngine(mSSLContext);
 8   // 初始化使用的BUFFER
 9   int appBufSize = mSSLEngine.getSession().getApplicationBufferSize();
10   int netBufSize = mSSLEngine.getSession().getPacketBufferSize();
11   mAppDataBuf = ByteBuffer.allocate(appBufSize);
12   mNetDataBuf = ByteBuffer.allocate(netBufSize);
13   pAppDataBuf = ByteBuffer.allocate(appBufSize);
14   pNetDataBuf = ByteBuffer.allocate(netBufSize);
15   // 初始化完成,准备开启握手
16   mSSLInitiated = true;
17   mSSLEngine.beginHandshake();
18   this.ProcessHandShake(null);
19 }

三、进行握手操作

    下图简单展示了握手流程,由客户端发起,通过一些列的数据交换最终完成握手操作。要成功与服务器建立连接,握手流程是非常重要的环节,幸好SSEngine内部已经实现了证书验证、交换等步骤,我们只需要在其上层执行特定的行为(握手状态处理)。

    3.1 握手相关状态(来自getHandshakeStatus方法)

        NEED_WRAP 当前握手状态表示需要加密数据,即将要发送的应用层数据加密输出为网络层数据,并执行发送操作。

        NEED_UNWRAP 当前握手状态表示需要对数据进行解密,即将收到的网络层数据解密后成应用层数据。

        NEED_TASK 当前握手状态表示需要执行任务,因为有些操作可能比较耗时,如果不希望造成阻塞流程就需要开启异步任务进行执行。

        FINISHED 当前握手已完成

        NOT_HANDSHAKING 表示不需要握手,这个主要是再次连接时,为了加快速度而跳过握手流程。

    3.2 处理握手的方法

        以下代码展示了握手流程中的各种状态的处理,主要的逻辑就是如果需要加密就执行加密操作,如果需要执行解密就执行解密操作(废话@_@!)。

 1 protected void ProcessHandShake(SSLEngineResult result){
 2  if(this.isClosed() || this.isShutdown()) return;
 3  // 区分是来此WRAP UNWRAP调用,还是其他调用
 4  SSLEngineResult.HandshakeStatus status;
 5  if(result != null){
 6   status = result.getHandshakeStatus(); 
 7  }else{
 8   status = mSSLEngine.getHandshakeStatus();
 9  }
10  switch(status)
11  {
12   // 需要加密
13   case NEED_WRAP:
14       //判断isOutboundDone,当true时,说明已经不需要再处理任何的NEED_WRAP操作了.
15       // 因为已经显式调用过closeOutbound,且就算执行wrap,
16       // SSLEngineReulst.STATUS也一定是CLOSED,没有任何意义
17       if(mSSLEngine.isOutboundDone()){
18         // 如果还有数据则发送出去
19         if(mNetDataBuf.position() > 0) {
20             mNetDataBuf.flip();
21             mSocketChannel.WriteAndFlush(mNetDataBuf);
22         }
23         break;
24       }
25       // 执行加密流程
26       this.ProcessWrapEvent();
27       break;
28   // 需要解密
29   case NEED_UNWRAP:
30    //判断inboundDone是否为true, true说明peer端发送了close_notify,
31    // peer发送了close_notify也可能被unwrap操作捕获到,结果就是返回的CLOSED
32    if(mSSLEngine.isInboundDone()){
33     //peer端发送关闭,此时需要判断是否调用closeOutbound
34     if(mSSLEngine.isOutboundDone()){
35      return;
36     }
37     mSSLEngine.closeOutbound();
38    }
39    break;
40   case NEED_TASK:
41    // 执行异步任务,我这里是同步执行的,可以弄一个异步线程池进行。
42    Runnable task = mSSLEngine.getDelegatedTask();
43    if(task != null){
44     task.run();  
45     // executor.execute(task); 这样使用异步也是可以的,
46     //但是异步就需要对ProcessHandShake的调用做特殊处理,因为异步的,像下面这直接是会导致疯狂调用。
47    }
48    this.ProcessHandShake(null);  // 继续处理握手
49    break;
50   case FINISHED:
51    // 握手完成
52    mHandshakeCompleted = true;
53    this.OnHandCompleted();
54    return;
55   case NOT_HANDSHAKING:
56    // 不需要握手
57    if(!mHandshakeCompleted)
58    {
59     mHandshakeCompleted = true;
60     this.OnHandCompleted();
61    }
62    return;
63  }
64 }

四、数据的发送与接收

    握手成功后就可以进行正常的数据发送与接收,但是需要额外在数据发送的时候进行加密操作,数据接收后进行解密操作。

    这里需要额外说明一下,在握手期间也是会需要读取数据的,因为服务器发送过来的数据需要我们执行读取并解密操作。而这个操作在一些其他的例子中直接使用了阻塞的读取方式,我这里则是放在OnRead事件调用后进行处理,这样才符合NIO模型。

    4.1 加密操作(SelectionKey.OP_WRITE)

 1 protected void ProcessWrapEvent(){
 2  if(this.isClosed() || this.isShutdown()) return;
 3  SSLEngineResult result = mSSLEngine.wrap(mAppDataBuf, mNetDataBuf);
 4  // 处理result
 5  if(ProcessSSLStatus(result, true)){
 6   mNetDataBuf.flip();
 7   mSocketChannel.WriteAndFlush(mNetDataBuf);
 8   // 发完成后清空buffer
 9   mNetDataBuf.clear();
10  }
11  mAppDataBuf.clear();
12  // 如果没有握手完成,则继续调用握手处理
13  if(!mHandshakeCompleted)
14    this.ProcessHandShake(result);
15 }

    4.2 解密操作(SelectionKey.OP_READ)

 1 protected void ProcessUnWrapEvent(){
 2  if(this.isClosed() || this.isShutdown()) return;
 3  do{
 4   // 执行解密操作
 5   SSLEngineResult res = mSSLEngine.unwrap(pNetDataBuf, pAppDataBuf);
 6   if(!ProcessSSLStatus(res, false))  
 7       // 这里不需要对`pNetDataBuf`进行处理,因为ProcessSSLStatus里面已经做好处理了。
 8    return;  
 9   if(res.getStatus() == Status.CLOSED)
10    break;
11   // 未完成握手时,需要继续调用握手处理
12   if(!mHandshakeCompleted)
13    this.ProcessHandShake(res);
14  }while(pNetDataBuf.hasRemaining());
15  // 数据都解密完了,这个就可以清空了。
16  if(!pNetDataBuf.hasRemaining())
17    pNetDataBuf.clear();
18 }

 

     文章来自我的公众号,大家如果有兴趣可以关注,具体扫描关注下图。

相关文章: