iOS使用HTTPDNS的SNI证书校验问题

1 问题描述

传统的域名解析会面临以下几个问题：

• 域名劫持
• 调度不精准
• 解析生效滞后
• 延迟大

HTTP DNS可以解决以上问题，同时也会带来一些问题，其中一个就是SNI问题。
SNI（Server Name Indication）是为了解决一个服务器使用多个域名和证书的SSL/TLS扩展。它的工作原理如下：

• 客户端和服务器建立SSL之前，先发送域名（hostname）。
• 服务器根据这个域名返回一个合适的证书。

上述过程中，当客户端使用HTTPDNS解析域名时，请求URL中的host会被替换成HTTPDNS解析出来的IP，导致服务器获取到的域名为解析后的IP，无法找到匹配的证书，只能返回默认的证书或者不返回，所以会出现SSL/TLS握手不成功的错误。

1.1 已有方案的问题

iOS上层网络库NSURLConnection/NSURLSession没有提供接口进行SNI字段的配置，因此需要Socket层级的底层网络库例如CFNetwork，来实现IP直连网络请求适配方案。

自定义类继承NSURLProtocol，拦截NSURLConnection/NSURLSession。但是已有参考代码存在如下问题：

• 重定向时，重定向的response被回调到上层，和原生系统的表现不一样
• 由于使用了CoreFoundation，CF对象和OC对象的转化存在一些问题
• 某些方法行数太长，可以拆分成更短的方法

2 问题解决方案

2.1 系统表现

首先看看原生的NSURLSession的表现，不发生重定向的请求，其回调的顺序如下：

-----URLSession:task:didReceiveChallenge:completionHandler:
-----URLSession:dataTask:didReceiveResponse:completionHandler:
-----URLSession:dataTask:didReceiveData:
-----URLSession:task:didCompleteWithError:

如果有重定向，其回调的顺序如下。其重定向了2次

 -----URLSession:task:didReceiveChallenge:completionHandler:
 -----URLSession:task:willPerformHTTPRedirection:newRequest:completionHandler:
 -----URLSession:task:didReceiveChallenge:completionHandler:
 -----URLSession:task:willPerformHTTPRedirection:newRequest:completionHandler:
 -----URLSession:task:didReceiveChallenge:completionHandler:
 -----URLSession:dataTask:didReceiveResponse:completionHandler:
 -----URLSession:dataTask:didReceiveData:
 -----URLSession:dataTask:didReceiveData:
 -----URLSession:dataTask:didReceiveData:
 -----URLSession:dataTask:didReceiveData:
 -----URLSession:task:didCompleteWithError:

参考代码中，Protocol中处理重定向的方式如下：

• 将重定向的响应头和响应体抛到上层
• 最后在该重定向结束的时候，从响应头拿到location，发起新的请求

而系统表现中，并不会将重定向的响应体进行回调，我觉得这是参考代码可以优化的地方。我的处理方式是：

• 如果在响应头中发现是重定向，首先关闭此次请求
• 如果上层实现了重定向的方法，从stream中读取响应头信息，再进行回调；如果上层没有实现重定向的方法，从stream中读取响应头信息，再重新发请求

    if ([self.client respondsToSelector:@selector(URLProtocol:wasRedirectedToRequest:redirectResponse:)]) {
        // 通知上层进行redirect
        [self.client URLProtocol:self wasRedirectedToRequest:[NSURLRequest requestWithURL:redirectUrl] redirectResponse:response];
    } else {
        // 内部进行redirect
        [self redirect:headDict];
    }

2 CF对象和OC对象的转化

以下是参考代码中，CF对象和OC对象进行转换有误的地方:

    // 获取响应头部信息
    //后面没有释放代码。而且这儿也没有必要retain，inputstream是成员变量
    CFReadStreamRef readStream = (__bridge_retained CFReadStreamRef) inputStream; 

    // 此处应该使用__bridge_transfer
    NSDictionary *headDict = (__bridge NSDictionary *) (CFHTTPMessageCopyAllHeaderFields(message));

3 代码风格问题

多个行数较长的方法，其实可以拆成更小的方法
许多复制粘贴的方法，其实可以抽取成统一的方法

- (void)startRequest {
    // 原请求的header信息
    NSDictionary *headFields = curRequest.allHTTPHeaderFields;
    // 添加http post请求所附带的数据
    CFStringRef requestBody = CFSTR("");
    CFDataRef bodyData = CFStringCreateExternalRepresentation(kCFAllocatorDefault, requestBody, kCFStringEncodingUTF8, 0);
    if (curRequest.HTTPBody) {
        bodyData = (__bridge_retained CFDataRef) curRequest.HTTPBody;
    } else if (headFields[@"originalBody"]) {
        // 使用NSURLSession发POST请求时，将原始HTTPBody从header中取出
        bodyData = (__bridge_retained CFDataRef) [headFields[@"originalBody"] dataUsingEncoding:NSUTF8StringEncoding];
    }
    
    CFStringRef url = (__bridge CFStringRef) [curRequest.URL absoluteString];
    CFURLRef requestURL = CFURLCreateWithString(kCFAllocatorDefault, url, NULL);
    
    // 原请求所使用的方法，GET或POST
    CFStringRef requestMethod = (__bridge_retained CFStringRef) curRequest.HTTPMethod;
    
    // 根据请求的url、方法、版本创建CFHTTPMessageRef对象
    CFHTTPMessageRef cfrequest = CFHTTPMessageCreateRequest(kCFAllocatorDefault, requestMethod, requestURL, kCFHTTPVersion1_1);
    CFHTTPMessageSetBody(cfrequest, bodyData);
    
    // copy原请求的header信息
    for (NSString *header in headFields) {
        if (![header isEqualToString:@"originalBody"]) {
            // 不包含POST请求时存放在header的body信息
            CFStringRef requestHeader = (__bridge CFStringRef) header;
            CFStringRef requestHeaderValue = (__bridge CFStringRef) [headFields valueForKey:header];
            CFHTTPMessageSetHeaderFieldValue(cfrequest, requestHeader, requestHeaderValue);
        }
    }
    
    // 创建CFHTTPMessage对象的输入流
    CFReadStreamRef readStream = CFReadStreamCreateForHTTPRequest(kCFAllocatorDefault, cfrequest);
    inputStream = (__bridge_transfer NSInputStream *) readStream;
    
    // 设置SNI host信息，关键步骤
    NSString *host = [curRequest.allHTTPHeaderFields objectForKey:@"host"];
    if (!host) {
        host = curRequest.URL.host;
    }
    [inputStream setProperty:NSStreamSocketSecurityLevelNegotiatedSSL forKey:NSStreamSocketSecurityLevelKey];
    NSDictionary *sslProperties = [[NSDictionary alloc] initWithObjectsAndKeys:
                                   host, (__bridge id) kCFStreamSSLPeerName,
                                   nil];
    [inputStream setProperty:sslProperties forKey:(__bridge_transfer NSString *) kCFStreamPropertySSLSettings];
    [inputStream setDelegate:self];
    
    if (!curRunLoop)
        // 保存当前线程的runloop，这对于重定向的请求很关键
        curRunLoop = [NSRunLoop currentRunLoop];
    // 将请求放入当前runloop的事件队列
    [inputStream scheduleInRunLoop:curRunLoop forMode:NSRunLoopCommonModes];
    [inputStream open];
    
    CFRelease(cfrequest);
    CFRelease(requestURL);
    CFRelease(url);
    cfrequest = NULL;
    CFRelease(bodyData);
    CFRelease(requestBody);
    CFRelease(requestMethod);
}

优化后的代码：

- (void)startRequest {
    // 创建请求
    CFHTTPMessageRef requestRef = [self createCFRequest];
    CFAutorelease(requestRef);
    
    // 添加请求头
    [self addHeadersToRequestRef:requestRef];
    
    // 添加请求体
    [self addBodyToRequestRef:requestRef];

    // 创建CFHTTPMessage对象的输入流
    CFReadStreamRef readStream = CFReadStreamCreateForHTTPRequest(kCFAllocatorDefault, requestRef);
    self.inputStream = (__bridge_transfer NSInputStream *) readStream;
    
    // 设置SNI
    [self setupSNI];

    // 设置Runloop
    [self setupRunloop];
    
    // 打开输入流
    [self.inputStream open];
}

其他问题

使用自定义URLProtocol之后，UIWebView加载H5页面，H5的Host被替换成了IP，字体，css等资源如果使用相对路径加载，则会自动用IP请求，但是这个请求进到URLProtocol的时候已经是IP了，没办法给这个请求在请求头添加Host（不知道他的Host是什么），就会导致证书问题。

参考文档

Demo地址：https://github.com/xiaoLong1010/HTTPDNS-SNI
https://www.jianshu.com/p/cd4c1bf1fd5f
https://www.jianshu.com/p/63a94cb46cd2
使用Protocol拦截：https://nemocdz.github.io/post/ios-设置代理proxy方案总结/
https://blog.csdn.net/leelit/article/details/77829196
https://help.aliyun.com/document_detail/30143.html
https://techblog.toutiao.com/2017/10/11/untitled-12/
http://www.sites-help.com/aliyun/1512799152.html
DNS原理
https://blog.csdn.net/xyxjn/article/details/55271041
http://www.ttlsa.com/web/httpdns-detailed-service/