Ios kCFStreamErrorDomainSSL-9802错误，但它'；s HTTPS URL
所以我知道ATS的内容以及如何编辑info.plist以允许HTTP。但是，URL是无效的。0&ak=1XjLLEhZhQNUzd93EjU5nOGQ&s=1，这是一个HTTPS请求，但我仍然得到Ios kCFStreamErrorDomainSSL-9802错误，但它'；s HTTPS URL,ios,cfnetwork,Ios,Cfnetwork,所以我知道ATS的内容以及如何编辑info.plist以允许HTTP。但是，URL是无效的。0&ak=1XjLLEhZhQNUzd93EjU5nOGQ&s=1，这是一个HTTPS请求，但我仍然得到 NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9802) 然后我添加setenv（“CFNETWORK\u DIAGNOSTICS”，“3”，1）在中使用选项完成启动以启用详细日志 在日志中，我找到了
NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9802)
setenv（“CFNETWORK\u DIAGNOSTICS”，“3”，1）在中使用选项完成启动以启用详细日志
在日志中，我找到了错误日志：
5510 Jan 14 10:52:01 MCompass[8549] <Notice>: CFNetwork Diagnostics [3:363] 10:52:01.458 {
5511 Response Error
5512 Request: <CFURLRequest 0x7fecf3cddcb0 [0x10aff37b0]> {url = https://api.map.baidu.com/api?v=2.0&ak=1XjLLEhZhQNUzd93EjU5nOGQ&s=1, cs = 0x0}
5513 Error: Error Domain=kCFErrorDomainCFNetwork Code=-1200 "(null)" UserInfo={_kCFStreamPropertySSLClientCertificateState=0, kCFStreamPropertySSLPeerTrust=<SecTrustRef: 0x7fecf406bbf0>, _kCFNetworkCFStreamSSLErrorOriginalValue=-9802, _kCFStreamErrorDomainKey=3, _kCFStreamErrorCodeKey=-9802, kCFStreamPropertySSLPeerCertificates=<CFArray 0x7fecf406cda0 [0x10aff37b0]>{type = immutable, count = 3, values = (
5514 0 : <cert(0x7fecf3fa80e0) s: baidu.com i: VeriSign Class 3 International Server CA - G3>
5515 1 : <cert(0x7fecf3fa8920) s: VeriSign Class 3 International Server CA - G3 i: VeriSign Class 3 Public Primary Certification Authority - G5>
5516 2 : <cert(0x7fecf4069fd0) s: VeriSign Class 3 Public Primary Certification Authority - G5 i: Class 3 Public Primary Certification Authority>
5517 )}}
5518 } [3:363]
5519 Jan 14 10:52:01 MCompass[8549] <Notice>: CFNetwork Diagnostics [3:364] 10:52:01.459 {
5520 Did Fail
5521 Loader: <CFMutableURLRequest 0x7fecf3cdd9f0 [0x10aff37b0]> {url = https://api.map.baidu.com/api?v=2.0&ak=1XjLLEhZhQNUzd93EjU5nOGQ&s=1, cs = 0x0}
5522 Error: Error Domain=kCFErrorDomainCFNetwork Code=-1200 "(null)" UserInfo={_kCFStreamPropertySSLClientCertificateState=0, kCFStreamPropertySSLPeerTrust=<SecTrustRef: 0x7fecf406bbf0>, _kCFNetworkCFStreamSSLErrorOriginalValue=-9802, _kCFStreamErrorDomainKey=3, _kCFStreamErrorCodeKey=-9802, kCFStreamPropertySSLPeerCertificates=<CFArray 0x7fecf406cda0 [0x10aff37b0]>{type = immutable, count = 3, values = (
5523 0 : <cert(0x7fecf3fa80e0) s: baidu.com i: VeriSign Class 3 International Server CA - G3>
5524 1 : <cert(0x7fecf3fa8920) s: VeriSign Class 3 International Server CA - G3 i: VeriSign Class 3 Public Primary Certification Authority - G5>
5525 2 : <cert(0x7fecf4069fd0) s: VeriSign Class 3 Public Primary Certification Authority - G5 i: Class 3 Public Primary Certification Authority>
5526 )}}
5527 init to origin load: 0.00280595s
5528 total time: 0.447458s
5529 total bytes: 0
5530 } [3:364]
将返回所有通行证：
Xuans-MacBook-Pro:~ xuan$ /usr/bin/nscurl --ats-diagnostics -v "https://api.map.baidu.com/api?v=2.0&ak=1XjLLEhZhQNUzd93EjU5nOGQ&s=1"
Starting ATS Diagnostics
Configuring ATS Info.plist keys and displaying the result of HTTPS loads to https://api.map.baidu.com/api?v=2.0&ak=1XjLLEhZhQNUzd93EjU5nOGQ&s=1.
A test will "PASS" if URLSession:task:didCompleteWithError: returns a nil error.
================================================================================
Default ATS Secure Connection
---
ATS Default Connection
ATS Dictionary:
{
}
Result : PASS
---
================================================================================
Allowing Arbitrary Loads
---
Allow All Loads
ATS Dictionary:
{
NSAllowsArbitraryLoads = true;
}
Result : PASS
---
================================================================================
Configuring TLS exceptions for api.map.baidu.com
---
TLSv1.2
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionMinimumTLSVersion = "TLSv1.2";
};
};
}
Result : PASS
---
---
TLSv1.1
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionMinimumTLSVersion = "TLSv1.1";
};
};
}
Result : PASS
---
---
TLSv1.0
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionMinimumTLSVersion = "TLSv1.0";
};
};
}
Result : PASS
---
================================================================================
Configuring PFS exceptions for api.map.baidu.com
---
Disabling Perfect Forward Secrecy
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionRequiresForwardSecrecy = false;
};
};
}
Result : PASS
---
================================================================================
Configuring PFS exceptions and allowing insecure HTTP for api.map.baidu.com
---
Disabling Perfect Forward Secrecy and Allowing Insecure HTTP
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionAllowsInsecureHTTPLoads = true;
NSExceptionRequiresForwardSecrecy = false;
};
};
}
Result : PASS
---
================================================================================
Configuring TLS exceptions with PFS disabled for api.map.baidu.com
---
TLSv1.2 with PFS disabled
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionMinimumTLSVersion = "TLSv1.2";
NSExceptionRequiresForwardSecrecy = false;
};
};
}
Result : PASS
---
---
TLSv1.1 with PFS disabled
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionMinimumTLSVersion = "TLSv1.1";
NSExceptionRequiresForwardSecrecy = false;
};
};
}
Result : PASS
---
---
TLSv1.0 with PFS disabled
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionMinimumTLSVersion = "TLSv1.0";
NSExceptionRequiresForwardSecrecy = false;
};
};
}
Result : PASS
---
================================================================================
Configuring TLS exceptions with PFS disabled and insecure HTTP allowed for api.map.baidu.com
---
TLSv1.2 with PFS disabled and insecure HTTP allowed
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionAllowsInsecureHTTPLoads = true;
NSExceptionMinimumTLSVersion = "TLSv1.2";
NSExceptionRequiresForwardSecrecy = false;
};
};
}
Result : PASS
---
---
TLSv1.1 with PFS disabled and insecure HTTP allowed
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionAllowsInsecureHTTPLoads = true;
NSExceptionMinimumTLSVersion = "TLSv1.1";
NSExceptionRequiresForwardSecrecy = false;
};
};
}
Result : PASS
---
---
TLSv1.0 with PFS disabled and insecure HTTP allowed
ATS Dictionary:
{
NSExceptionDomains = {
"api.map.baidu.com" = {
NSExceptionAllowsInsecureHTTPLoads = true;
NSExceptionMinimumTLSVersion = "TLSv1.0";
NSExceptionRequiresForwardSecrecy = false;
};
};
}
Result : PASS
---
================================================================================
如上所述，通过HTTPS访问API url并不意味着它将遵守苹果的ATS。我也使用了nscurl
，但我相信这个工具还不够成熟，有时可能效率很低
测试更好，更详细，imho。它将帮助您跟踪SSL配置中缺少的内容
请注意，ATS TLS 1.2至少是完美的前向保密密码套件。我不知道这是否能解决您的问题，但我最近遇到了类似的问题。在我的例子中，我还有一个服务器，它通过了nscurl--ats diagnostics
，每个服务器都通过了，但由于应用程序中的ats-9802错误而失败。服务器使用TLS版本1.2，具有前向保密性，使用良好的密码套件，并具有SHA256证书
SSL实验室页面提供了指向答案的提示——它说一切都很好，但SSL链不完整。服务器的配置有点错误，因为它提供了正确的证书，但不是连接到根证书（应该已经在客户端上）所需的中间证书。有一些指针指向中间证书可以下载的地方，所以SSL实验室页面就这样做了，结果只是把等级降到了a“B”。但是，这意味着客户机实现还需要能够自行下载中间证书——并非所有实现都需要
在我的例子中，因为这是在一个测试/开发环境中，我们遇到了其他服务器偶尔被错误配置的问题，所以我们将AFSecurityPolicy属性validateDomainName
设置为NO，因为这解决了这些其他问题（在生产中当然是肯定的）。但是，这也成为了此服务器的设置，这并不是严格必需的。这反过来意味着，AFSecurityPolicy在配置SecTrustRef
时使用secPolicyCreateCx509（）
而不是SecPolicyCreateSSL（）
。除了SecTrustGetNetworkFetchAllowed（）
的标题文档说明：
默认情况下，如果出现以下情况，则启用丢失证书的网络提取
信任评估包括SSL策略，否则它将被禁用
所以，这就是问题所在nscurl
将使用SSL策略，因此它将下载中间证书并正常工作。但是，关闭该标志后，ATS将在运行时失败，因为SecTrustEvaluate（）
将返回kSecTrustResultRecoverableTrustFailure
，无需进一步干预，将被视为失败。如果我将validateDomainName
设置回YES，则它开始工作（在此服务器上）。或者，如果在将策略添加到SecTrustRef后，您对它有一个句柄，则可以调用
SecTrustSetNetworkFetchAllowed(trustRef, true);
因为即使使用X509策略，这也将允许应用程序传输安全获取中间证书。或者，您可以修复服务器配置，以提供整个证书链，包括但不包括根证书，就像它应该提供的那样
EDIT:SecTrustSetNetworkFetchAllowed
调用仅在iOS10上有效。对于iOS9，我必须使用SSL策略调用sectrustSetPolicys（）
，即重置策略列表——这是ATS在iOS9上获取丢失证书的唯一方法。Hi，很抱歉打扰您。你能告诉我你是怎么解决问题的吗？我的https url有完全相同的错误。我尝试了nscurl和ssl实验室，但没有发现任何问题。感谢您提供关于/usr/bin/nscurl--ats diagnostics-v”的提示https://myserver.com“
SecTrustSetNetworkFetchAllowed(trustRef, true);