SSLPeerUnverifiedException("Certificate chain too long: $result")的处理方案

问题原因

出现SSLPeerUnverifiedException("Certificate chain too long: $result")的原因是SSL证书链过长。SSL证书链中包含了服务器证书及中间证书，当证书链过长时，可能会遭遇SSLPeerUnverifiedException异常。这通常是由于服务器证书包含了大量的中间证书，导致证书链变得过长，超出了Java对证书链长度的限制而导致异常的发生。

解决方案

SSLPeerUnverifiedException("Certificate chain too long")异常通常是由于SSL证书链过长导致的。这可能是因为服务器证书中包含了太多中间证书，导致验证证书链时出错。要解决这个问题，可以采取以下几种方法： 1. 检查服务器端证书链：检查服务器端证书链，确保证书链正确，并删除多余或过期的中间证书。确保服务器端返回的证书链不包含无用的证书。 2. 更新根证书：确保客户端（App）中包含了最新的根证书库。可以更新操作系统或App中的根证书库，以便能够正确验证服务器端的证书链。 3. 禁用证书链验证：尽管不推荐，但在一些情况下，可以临时禁用服务器证书链验证，从而绕过该异常。但这种做法会降低通信的安全性，不建议在生产环境中使用。 4. 自定义SSL证书验证：在OkHttp中可以实现自定义的SSL证书验证。你可以创建一个TrustManager来验证服务器端证书，并在OkHttp客户端初始化时设置自定义TrustManager。 下面是一个简单的示例代码，演示如何在OkHttp中设置自定义的TrustManager来处理SSLPeerUnverifiedException异常：

TrustManager[] trustManagers = new TrustManager[]{
    new X509TrustManager() {
        @Override
        public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException {
            // 客户端验证方法，可以留空
        }

        @Override
        public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException {
            // 服务器端验证方法
            // 可以在这里自定义服务器端证书链验证逻辑
        }

        @Override
        public X509Certificate[] getAcceptedIssuers() {
            return new X509Certificate[0];
        }
    }
};

SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, trustManagers, new SecureRandom());

OkHttpClient client = new OkHttpClient.Builder()
        .sslSocketFactory(sslContext.getSocketFactory(), (X509TrustManager) trustManagers[0])
        .build();

通过以上方法可以自定义处理SSLPeerUnverifiedException异常，确保安全地建立SSL连接。

具体例子

SSLPeerUnverifiedException("Certificate chain too long")这个异常通常是由于服务器返回的SSL证书链过长引起的。解决这个问题的方法是在使用OkHttp的时候配置一个自定义的TrustManager，用于验证服务器的SSL证书。通过这种方式，可以忽略SSL证书链的长度问题，从而避免抛出SSLPeerUnverifiedException异常。 以下是一个示例代码，演示了如何正确使用OkHttp来解决SSLPeerUnverifiedException异常：

import okhttp3.OkHttpClient;
import okhttp3.Request;
import okhttp3.Response;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManager;
import javax.net.ssl.X509TrustManager;
import java.io.IOException;
import java.security.cert.CertificateException;
import java.security.cert.X509Certificate;

public class OkHttpExample {

    public static void main(String[] args) {
        OkHttpClient client = getUnsafeOkHttpClient();

        Request request = new Request.Builder()
                .url("https://example.com")
                .build();

        try {
            Response response = client.newCall(request).execute();
            System.out.println(response.body().string());
        } catch (IOException e) {
            e.printStackTrace();
        }
    }

    public static OkHttpClient getUnsafeOkHttpClient() {
        try {
            // 创建一个TrustManager，用于解决SSL证书验证问题
            final TrustManager[] trustAllCerts = new TrustManager[]{
                    new X509TrustManager() {
                        @Override
                        public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException {
                        }

                        @Override
                        public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException {
                        }

                        @Override
                        public X509Certificate[] getAcceptedIssuers() {
                            return new X509Certificate[0];
                        }
                    }
            };

            // 创建一个SSLContext并设置TrustManager
            SSLContext sslContext = SSLContext.getInstance("TLS");
            sslContext.init(null, trustAllCerts, new java.security.SecureRandom());

            // 使用自定义的SSLContext创建一个OkHttpClient
            OkHttpClient client = new OkHttpClient.Builder()
                    .sslSocketFactory(sslContext.getSocketFactory(), (X509TrustManager) trustAllCerts[0])
                    .hostnameVerifier((hostname, session) -> true)
                    .build();

            return client;
        } catch (Exception e) {
            throw new RuntimeException(e);
        }
    }
}

上面的示例代码中，通过创建一个自定义的TrustManager来绕过SSL证书验证过程，解决了SSLPeerUnverifiedException异常。在实际使用时，可以将这段代码集成到自己的项目中，以确保与服务器建立安全的连接。