您正在使用不安全的X509TrustManager实现。

Question

我在谷歌Play商店上有一个应用，今天收到了一封来自Google的邮件，内容如下：

Google Play警告：您正在使用不安全的X509TrustManager实现

这封邮件涉及到SSL证书问题，并提供了解决问题的方法。

我问这个问题是因为好奇心，

1. 这个警告究竟是什么意思？
2. 我的应用程序中没有使用任何与网络相关的活动（这是一个本地数据库驱动的应用程序），那么为什么我的应用程序会出现这个警告？

更多细节：

我的应用程序是使用Appcelerator Titanium构建的，谷歌表示这个实现在 ti.modules.titanium.network.NonValidatingTrustManager; 中。 我确定我从未在我的代码中使用过这样的类。

- Midhun MP

Answer 1

实际上这个警告是关于什么的？

你应该已经被链接到此页面，其中解释了这个警告是关于什么的。简而言之，Google正在扫描应用程序，以查找那些弄砸SSL的人，比如盲目地接受所有证书为有效。

我的应用程序中没有使用任何与网络相关的活动（它是一个本地数据库驱动的应用程序），那么为什么我的应用程序会出现这个警告？

因为你的APK中有其他东西做了这件事。在这位开发者的情况下，是一个库。

我的应用程序是使用Appcelerator Titanium构建的，谷歌说这个实现在ti.modules.titanium.network.NonValidatingTrustManager;中。我确定我从未在我的代码中使用过这样的类。

你可能没有直接使用它。然而，其他东西正在使用它。或者，它可能存在，因为它只是整个Titanium框架的一部分，并保留在你的APK中。

- CommonsWare

Answer 2

Appcelerator正在JIRA上跟踪此问题： https://jira.appcelerator.org/browse/TIMOB-20431 我们还发布了一篇博客文章，提供相关信息： http://www.appcelerator.com/blog/2016/02/google-security-alert-unsafe-implementation-of-the-interface-x509trustmanager/ 邮件中提到5月17日是新提交的应用和更新的截止日期。我们将及时提供修复程序和说明。

- Fokke Zandbergen

Answer 3

请阅读： http://docs.appcelerator.com/platform/latest/#!/guide/SSL_Certificate_Store_Support_for_HTTP_Clients 这篇文章主要是关于Google推广使用https的内容。如果您在应用程序中使用Titanium.Network.createHTTPClient对象，则需要按照以下方式实现：

var certificateStore = require('ti.certificatestore').

该模块可以在此处找到：https://github.com/appcelerator-modules/ti.certificatestore。

- Horia

Answer 4

问题与js代码无关。它在Titanium sdk内部，无论你是否使用某些函数都是如此。我认为可能的解决方案是重写类https://github.com/appcelerator/titanium_mobile/blob/bc85170157d3bebc5de1d61a9fe6e34bce84a8c9/android/modules/network/src/java/ti/modules/titanium/network/NonValidatingTrustManager.java。我们应该创建一个安全的X509TrustManager实现。

- Raziel

---

Appcelerator将会在5月中旬的截止日期前准备好更新的SDK。更多信息即将在我们的博客上发布。 - Fokke Zandbergen

Answer 5

我刚刚在我的应用程序上收到了相同的消息。与 OP 指定的模块相同。

ti.modules.titanium.network.NonValidatingTrustManager;

我目前的研究得出以下几点：

• http://docs.appcelerator.com/platform/latest/#!/guide/SSL_Certificate_Store_Support_for_HTTP_Clients 讨论了这个问题，并提供了iOS和Android的示例。然而：
  • 每个操作系统的示例都不同，需要创建或下载模块（Android的示例已经有几年了）
  • 文档明确表示这些方法已不再受支持

相反，您应该使用HTTPClient的securityManager属性来实现对SSL证书存储的支持。

• 很不幸，SecurityManagerProtocol文档中没有示例。我找到的少数参考资料（http://docs.appcelerator.com/platform/latest/#!/api/Modules.Https）需要使用modules.https，而这是一个付费模块。

• 我有一个问题：如果Google拒绝所有具有这个特定问题的Appcelerator应用程序，并且只有付费订阅的开发者才能获得官方支持的解决方案，这是否意味着Appcelerator的“社区版”与Google Play不兼容？Appcelerator是否计划为其社区成员正式支持HTTPS？

如果有任何来自Appcelerator的人愿意发表评论，请告知。 谢谢， David

- drh

---

Appcelerator将会在5月中旬的截止日期前准备好更新的SDK。我们的博客上很快会有更多信息。虽然HTTPS模块是一个高级团队+模块，但我们会确保任何Titanium开发人员都可以在5月中旬的截止日期前做好准备。 - Fokke Zandbergen