我偶然发现 QT5 中添加了以下增强功能:https://bugreports.qt.io/browse/QTBUG-22033 https://bugreports.qt.io/browse/QTBUG-22033
基本上,此增强功能背后的想法是检查钥匙串中的用户名/密码(如果中间代理需要身份验证凭据)。事实证明,这实现得很糟糕,并且此代码已添加到 QNetworkAccessManager::authenticationRequired() 信号中,而不是添加到 proxyAuthenticationRequired() 信号中。
关于这个问题的有趣部分是我没有为我的应用程序或我使用的 QNetworkAccessManager 设置代理。这使得这个问题很难调试!
由于放置不当,任何authenticationRequired 信号都会发生这种“钥匙串查询”。底层的 getProxyAuth() 方法正在使用空白主机名调用“SecKeychainFindInternetPassword”,该主机名与我的钥匙串中的第一个“Internet 密码”匹配,并使用它使用此新凭据向我的服务发送请求。想象一下,当我看到我的其他/个人密码之一被发送到我的 HTTP 服务时,我有多惊讶!
这不仅是一个安全问题,还会导致您的应用程序出现无限循环。我用 QT 打开了一个关于此的错误:https://bugreports.qt.io/browse/QTBUG-30434 https://bugreports.qt.io/browse/QTBUG-30434
有临时解决办法吗?有!我花了一段时间寻找这个问题的解决方法。这是一个令人讨厌的黑客行为。但在 QT 人员做好准备之前,这种方法是有效的。这个黑客之所以有效,是因为它确保“SecKeychainFindInternetPassword”与钥匙串中的任何条目都不匹配,因此跳过“钥匙串查询”。
基本上,我将代理主机名设置为“”而不是“”,这将阻止任何导致我的应用程序中无限循环的匹配。
解决方法:
QNetworkProxy proxy = manager_->proxy();
proxy.setHostName(" ");
manager_->setProxy(proxy);
我希望这个问题在 QT 的下一版本中得到解决,这样我就可以删除这个可怕的黑客行为。