有关详细信息，在iOS 9和OSX 10.11中配置应用程序传输安全例外

奇怪的是，您将注意到连接试图更改 HTTP协议转换为HTTPS，以防止在代码中出现错误 你可能不小心配置错了URL。在某些情况下，这 可能真的有用，但也令人困惑。

这篇带有应用程序传输安全性的应用程序发布包含了一些很好的调试技巧

美国胸科协会失败

大多数ATS故障将显示为CFErrors，代码为-9800 系列。这些在Security/SecureTransport.h头文件中定义

2015-08-23 06:34:42.700 SelfSignedServerATSTest[3792:683731] NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9813)

CFNETWORK_DIAGNOSTICS

将环境变量CFNETWORK_DIAGNOSTICS设置为1，以便 在控制台上获取有关故障的更多信息

nscurl

该工具将通过几种不同的ATS组合运行 异常，尝试到每个异常下的给定主机的安全连接 ATS配置并报告结果。

nscurl --ats-diagnostics https://example.com

当我使用一个有bug /崩溃的Cordova iOS版本时，这个错误有时会出现在日志中。当我升级或降级cordova iOS时，它就消失了。

我所连接的服务器使用的是TLSv1.2 SSL，所以我知道这不是问题。

如果你的后端使用安全连接，你可以使用NSURLSession

CFNetwork SSLHandshake failed (-9801)
NSURLSession/NSURLConnection HTTP load failed (kCFStreamErrorDomainSSL, -9801)

您需要检查您的服务器配置，特别是获得ATS版本和SSL证书

而不是仅仅通过设置NSExceptionAllowsInsecureHTTPLoads = YES来允许不安全的连接，相反，你需要允许降低安全性，如果你的服务器不满足ATS的最低要求(v1.2)(或者更好地修复服务器端)。

允许降低安全性到单个服务器

<key>NSExceptionDomains</key>
<dict>
    <key>api.yourDomaine.com</key>
    <dict>
        <key>NSExceptionMinimumTLSVersion</key>
        <string>TLSv1.0</string>
        <key>NSExceptionRequiresForwardSecrecy</key>
        <false/>
    </dict>
</dict>

使用openssl客户端调查证书，并使用openssl客户端获取服务器配置:

openssl s_client  -connect api.yourDomaine.com:port //(you may need to specify port or  to try with https://... or www.)

．．在结尾找到

SSL-Session:
    Protocol  : TLSv1
    Cipher    : AES256-SHA
    Session-ID: //
    Session-ID-ctx: 
    Master-Key: //
    Key-Arg   : None
    Start Time: 1449693038
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)

应用程序传输安全(ATS)要求传输层安全(TLS)协议版本1.2。

ATS连接要求:

The requirements for a web service connection to use App Transport Security (ATS) involve the server, connection ciphers, and certificates, as follows: Certificates must be signed with one of the following types of keys: Secure Hash Algorithm 2 (SHA-2) key with a digest length of at least 256 (that is, SHA-256 or greater) Elliptic-Curve Cryptography (ECC) key with a size of at least 256 bits Rivest-Shamir-Adleman (RSA) key with a length of at least 2048 bits An invalid certificate results in a hard failure and no connection. The following connection ciphers support forward secrecy (FS) and work with ATS: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

更新:原来openssl只提供最小协议版本协议:TLSv1链接

我测试的设备时间设置错误。因此，当我试图访问一个证书即将到期的页面时，它会拒绝访问，因为设备虽然证书已经过期。要修复，请在设备上设置适当的时间!

Info的语法。plist配置

   <key>NSAppTransportSecurity</key>
   <dict>
   <key>NSExceptionDomains</key>
    <dict>
    <key>yourserver.com</key>
   <dict>
  <!--Include to allow subdomains-->
  <key>NSIncludesSubdomains</key>
  <true/>
  <!--Include to allow insecure HTTP requests-->
  <key>NSExceptionAllowsInsecureHTTPLoads</key>
  <true/>
  <!--Include to specify minimum TLS version-->
  <key>NSExceptionMinimumTLSVersion</key>
  <string>TLSv1.1</string>
   </dict>
 </dict>

在项目的.plist文件中添加以下权限:

<key>NSAppTransportSecurity</key>
<dict>
    <!--Connect to anything (this is probably BAD)-->
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>