关于iOS9中的App Transport Security（ATS）相关说明及适配

iOS9中新增App Transport Security（简称ATS）特性, 主要使到原来请求的时候用到的HTTP，都转向TLS1.2协议进行传输。这也意味着所有的HTTP协议都强制使用了HTTPS协议进行传输。原文如下：

如果我们在iOS9下直接进行HTTP请求是会收到如下错误提示：

App Transport Security has blocked a cleartext HTTP (http://) resource load since it is insecure. Temporary exceptions can be configured via your app‘s Info.plist file.

系统会告诉我们不能直接使用HTTP进行请求，需要在Info.plist新增一段用于控制ATS的配置：

<key>NSAppTransportSecurity</key><dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/></dict>

也即：

这段配置中的NSAppTransportSecurity是ATS配置的根节点，配置了节点表示告诉系统要走自定义的ATS设置。而NSAllowsAritraryLoads节点则是控制是否禁用ATS特性，设置YES就是禁用ATS功能。

直到前面的配置可以完美的适配iOS9了（亲测），但是如果你想遵循苹果给出的标准，让自己的数据更加安全，那么需要继续往下看。

其实ATS并不单单针对HTTP进行了限制，而是对HTTPS也有一定的要求，以百度的地址为例，如果在App中请求https://baidu.com的话，是会收到如下的错误信息：

NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9802)

查阅了一下官方资料（https://developer.apple.com/library/prerelease/ios/technotes/App-Transport-Security-Technote/），发现HTTPS的请求需要满足下面的要求：

根据原文描述，首先必须要基于TLS 1.2版本协议。再来就是连接的加密方式要提供Forward Secrecy(正向保密？这个不清楚是什么，好奇的筒子找资料吧～)，文档中罗列出支持的加密算法（如下表）。最后就是证书至少要使用一个SHA256的指纹与任一个2048位或者更高位的RSA密钥，或者是256位或者更高位的ECC密钥。如果不符合其中一项，请求将被中断并返回nil。

我们再来看刚才的百度的地址，用浏览器打开百度的地址，然后点击链接前面的锁图标，如图：

可以看到它使用了TLS 1.2版本协议，符合第一个约定。然后可以看到使用AES_128_GCM进行加密，并使用ECDHE_RSA作为密钥交换机制的，我们可以在Forward Secrecy的列表中找到对应两条记录：

• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

但是还不能确定百度是否提供Forward Secrecy，我们再点开证书信息，查看“签发者名称”和“公共密钥信息”两项，如图：

看到签名算法中写着“带RSA加密的SHA-1”。可以判定该加密算法不包含在上面两项中。因此百度是一个不符合ATS的要求，所以返回了错误。这时候，如果要解决这样的问题，同样需要对ATS进行配置。配置如下：

<key>NSAppTransportSecurity</key>
	<dict>
		<key>NSExceptionDomains</key>
		<dict>
			<key>baidu.com</key>
			<dict>
				<key>NSIncludesSubdomains</key>
				<true/>
				<key>NSExceptionRequiresForwardSecrecy</key>
				<false/>
                                <key>NSExceptionAllowsInsecureHTTPLoads</key>
                                <true/>
			</dict>
		</dict>
	</dict>

其中NSIncludesSubdomains设置为YES表示百度的子级域名都使用相同设置。NSExceptionRequiresForwardSecrecy为NO由于百度不支持ForwardSecrecy，因此屏蔽掉改功能。最后NSExceptionAllowInsecureHTTPLoads设置为YES，则表示允许访问没有证书或者是自签名、过期、主机名不匹配的证书引发的错误的域名（这里检查过百度的证书貌似没有什么问题，但是还是需要设置此项才允许访问）。

http://www.bubuko.com/infodetail-1050702.html