使用自定義簽名的https的ssl安全問題解決和metro的webservice調用

最近一直在忙新的項目，每天加班到8點多，都沒來寫博客了。新的項目遇到了很多問題，現在趁着突然停電來記錄下調用https的問題吧。

我們服務主要是，我們調用數據源數據，並且再提供接口供外部數據調用。

我們提供給客戶的接口采用https+post的方式，調用數據源的數據是以https的webservice。由於我們的簽名是自簽的，所以客戶調用我們的接口要繞過安全認證，我們都要在sdk里面提供給他。

    　　private static volatile RestfulRemoteHttpsHelper instance;
    　　private ConnectionConfig connConfig;
    　　private SocketConfig socketConfig;
   　　 private ConnectionSocketFactory plainSF;
   　　 private KeyStore trustStore;
    　　private SSLContext sslContext;
   　　 private LayeredConnectionSocketFactory sslSF;
  　　  private Registry<ConnectionSocketFactory> registry;
 　　   private PoolingHttpClientConnectionManager connManager;
   　　 private volatile HttpClient client;
  　　  private volatile BasicCookieStore cookieStore;
  　　  public static String defaultEncoding= "utf-8";    

        private HttpsHelper(){
        //設置連接參數
        connConfig = ConnectionConfig.custom().setCharset(Charset.forName(defaultEncoding)).build();
        socketConfig = SocketConfig.custom().setSoTimeout(100000).build();
        RegistryBuilder<ConnectionSocketFactory> registryBuilder = RegistryBuilder.<ConnectionSocketFactory>create();
        plainSF = new PlainConnectionSocketFactory();
        registryBuilder.register("http", plainSF);
        //指定信任密鑰存儲對象和連接套接字工廠
        try {
            trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
            sslContext = SSLContexts.custom().useTLS().loadTrustMaterial(trustStore, new AnyTrustStrategy()).build();
            sslSF = new SSLConnectionSocketFactory(sslContext, SSLConnectionSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER);
            registryBuilder.register("https", sslSF);
        } catch (KeyStoreException e) {
            throw new RuntimeException(e);
        } catch (KeyManagementException e) {
            throw new RuntimeException(e);
        } catch (NoSuchAlgorithmException e) {
            throw new RuntimeException(e);
        }
        registry = registryBuilder.build();
        //設置連接管理器
        connManager = new PoolingHttpClientConnectionManager(registry);
        connManager.setDefaultConnectionConfig(connConfig);
        connManager.setDefaultSocketConfig(socketConfig);
        //指定cookie存儲對象
        cookieStore = new BasicCookieStore();
        //構建客戶端
        client= HttpClientBuilder.create().setDefaultCookieStore(cookieStore).setConnectionManager(connManager).build();
    }

上面代碼是用httpClient4.3來繞過https的請求調用。

通過webservice調用數據源的數據由於他們有專門的信任證書簽發,所以可以把他們的簽名證書加入信任庫。關於怎么根據keystore生成truststore可以使用jdk的keytool工具，在jdk安裝目錄下的bin文件夾里面。

keystore生成truststore:

通過cmd進入jdk的的bin目錄下,輸入keytool -export -alias 別名 -keystore client.keystore -rfc -file client.cer,會提示輸入密碼，別名和密碼需要簽名方提供。生成.cer文件，文件在jdk安裝目錄下。再輸入keytool import -alias 別名 -file client.cer -keystore client.truststore生成truststore，記住輸入的密碼。

把keystore和truststore加入到信任庫里。

　　　　 System.setProperty("javax.net.ssl.keyStore", keyPath);
        System.setProperty("javax.net.ssl.keyStorePassword", "key-password");
        System.setProperty("javax.net.ssl.trustStore", trustPath);  
        System.setProperty("javax.net.ssl.trustStorePassword", "trust-password");

如果用axis做webservice的調用framework的話就可以使用了，這次我們用的是metro。

關於metro可以參考官網。https://metro.java.net

把metro加入到gradle依賴 --> compile 'org.glassfish.metro:webservices-rt:2.3'。

 生成client代碼調用？可以借助wsimport這個工具，注意在生成代碼時,加上-keep 屬性,不然只會生成class文件，而木有Java文件。

生成的文件目錄:

把生成的client代碼導入項目中，如果不出意外的話會報subject-alternative-names-present這個異常，如果是jdk8的話，用lambda表達式

HttpsURLConnection.setDefaultHostnameVerifier((hostname, session) -> hostname.equals("主機ip"));

如果是低版本，這樣

HttpsURLConnection.setDefaultHostnameVerifier(new HostnameVerifier()
        {
            public boolean verify(String hostname, SSLSession session)
            {
                // ip address of the service URL(like.23.28.244.244)
                if (hostname.equals("主機ip"))
                    return true;
                return false;
            }
        });

現在可以測試了,測試代碼

　　@Test
    public void testMetro() {

        StopWatch clock = new StopWatch("metro clock");
        QueryService queryService = queryServiceService.getQueryService();
        for (int i = 0; i < 20; i++) {
            clock.start("start the " + i + "connection");
            String result = queryService.getMethod("xxx", "xxx", "xxx", "xxx", "xxx", "xxx", null, "xxx", null, null, null, null);
            System.out.println("the first number result :" + result);
            clock.stop();
        }        
 }

為了測試性能，用到了StopWatch 這個類做時間計時器，關於StopWatch的使用搜索一大把。測試結果的效果不怎么樣，因為這樣是每次調用都握手，而握手的時間太長了。為了優化可以讓連接keep-alive，詳情參考官網

https://metro.java.net/guide/ch05.html#http-persistent-connections-keep-alive

在Java代碼里實現，后面的value值可以根據實際情況來改變。

System.setProperty("http.keepAlive", "true");
System.setProperty("http.maxConnections", "250");
System.setProperty("keep-alive.max-connections", "1000");

測試結果

經過添加keep-alive，明顯調用效果好了很多(這是我本機測試的，用nginx做了代理，實際部署到服務器還沒測試，效果應該會更好)。

這里的webservice的性能還能再次優化，只是現在還沒做。等優化好了再來記錄！

語文水平不怎么樣，東說一句西說一句，有點亂。關於這個項目的問題還有好多沒能記錄，有時間再來整理。