HTTPS理解

参考网址：

HTTPS 详解一：附带最精美详尽的 HTTPS 原理图
面试官接着问你HTTPS的知识点，看这里，不要退缩！
Android Https相关完全解析 当OkHttp遇到Https
Android OkHttp中Https的处理
Android 9 请求网络报异常：Cleartext HTTP traffic not permitted

一、基础知识

1、https默认是443端口，http是80端口
2、 HTTP是一个无状态的(没办法存储通信状态，eg：登录状态)、 透明的网络协议
3、HTTP的缺点

HTTP是明文通信，没有加密，信息容易被窃听
HTTP没有验证双方身份，会遭遇身份伪装
HTTP无法证明报文的完整性，报文可能被篡改

二、HTTPS介绍

概念：
HTTP通讯加密，验证双方身份，保证报文的完整性即是HTTPS，多了个安全性的校验
总结：

HTTPS是HTTP+TLS/SSL协议组合而成
TLS是SSL的升级版

三、HTTPS抓包

1、Android7.0以后不信任用户证书，默认只信任系统证书
解决方法一： 在代码中信任用户证书
解决方法二： 设置targetSdkVersion < 24
2、OkHttp默认支持CA颁发证书的https网站。不支持自签名的网站，访问自签名的网站会报错，javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found.用浏览器访问会提示有风险警示⚠️
3、Charles Proxy CA不是CA机构颁发的证书，所以得在代码中信任用户证书(Charles证书)
4、设置cleartextTrafficPermitted="true"或者android:usesCleartextTraffic="true"，可以让http网址也被访问到，支持明文传输，对本身就是https的网址没影响。

四：总结

1. 首先服务器端去专业CA机构申请证书，会获取到公钥和私钥
2. 客户端请求服务器端，服务器端把CA证书（包含公钥）传给客户端
3. 客户端拿到公钥，生成一个随机数，作为对称加密的密钥
4. 客户端用公钥加密 对称加密的密钥，把密钥传递给服务器
5. 服务器用私钥解密出 对称加密的密钥
6. 这时双方就可以通过密钥进行信息的传递了

非对称加密的目的： 传递对称加密的密钥（安全，处理慢）
对称加密： 传递数据（不安全，处理快）
CA证书： 保证公钥来源的正确性（证书）以及不会被篡改（签名）