在 iOS 应用程序中隐式信任私有 API 的 SSL 证书

Question

我正在开发一个带有 Rails 后端的 iOS 应用程序，在 VPS 上运行（通过我自己的域）。

我的问题是：考虑到这是一个只能通过

my

iOS 应用程序访问的私有 API，在我的服务器上使用自签名 SSL 证书并在与其通信时忽略来自 NSURLConnection 的警告是否不安全？

Answer 1

在这种情况下，安全的方法是：自己签名并将证书手动添加到您工作的每个系统的本地证书数据库中，因此您不需要身份验证就知道它是您的。有时，这可以自动完成，就像在第一次从每个系统连接时选中“忽略此证书的警告”框一样简单，这将阻止您在该系统上再次看到它，除非证书发生更改。

这样您就不会再看到警告，除非您正在查看的是其他人的自我证书。

默认情况下忽略警告通常意味着，如果其他人签署了自己的证书并将其呈现给您，您将在没有注意到的情况下继续进行。这不是一个好主意。