如何在 Cocoa 中使用 WebView 连接客户端证书？

Question

我正在尝试连接到需要客户端证书的服务器。 因此，浏览到此服务器时发生的正常事件流程是 Web 浏览器（Safari 和 Chrome）提示用户选择证书并重试操作。

那么如何在 Cocoa 项目的嵌入式 WebView 中实现这一点呢？ 到目前为止，我已经确定该错误是在 didFailProvisionalLoadWithError 方法中引发的：

- (void)webView:(WebView *)sender didFailProvisionalLoadWithError:(NSError *)error forFrame:(WebFrame *)frame {
    NSLog(@"webView:didFailProvisionalLoadWithError:forFrame:");
    NSLog(@"    error = %@", error);
}

该错误确实是 error = Error Domain=NSURLErrorDomain Code=-1206 UserInfo=0x1006a8030 "The server “myserver.xxx”需要客户端证书。
但是如何显示一个对话框以便用户可以从钥匙串中选择证书？

Answer 1

问题解决了。

WebView 组件的一个（已知）问题是罪魁祸首。
向 Apple 提交了 DTS 支持票并找到了解决方法。

编辑：
这是 DTS 的解决方法（我不知道这是否仍然有效，因为那是 3 年前的事了）：

Magnus 好的，我有机会看看这个，我知道发生了什么
在。在我们开始讨论 WebView 之前，我需要先介绍一下
NSURLConnection 使用的委托方法的速度，这是
用于实际从网络加载数据的底层 API。
NSURLConnection 开始支持单一身份验证
委托回调，-connection:didReceiveAuthenticationChallenge:, 到
它通过了各种身份验证挑战
当时支持（用户名/密码式挑战）。在苹果电脑中
OS X 10.6（和 iOS 3.0）NSURLConnection 得到增强，支持两种
TLS 连接的其他身份验证质询类型： o
客户身份挑战
(NSURLAuthenticationMethodClientCertificate)，为委托提供
为给定 TLS 连接选择客户端身份的机会
服务器信任挑战（NSURLAuthenticationMethodServerTrust），给出
委托人有机会覆盖服务器信任评估
对于给定的 TLS 连接 出于兼容性原因，它不是
可以将这些挑战传递给所有代表
情况下，所以 NSURLConnection 引入了一个新的委托回调，
-connection:canAuthenticateAgainstProtectionSpace:，允许委托人选择接受这些挑战。
* * * 现在，让我们将其带回到您的应用程序中。正如我提到的，WebView 使用
NSURLConnection，对于每个连接，充当连接
代表。它拦截身份验证挑战并将其传递给
它的资源加载委托。这对于老派来说效果很好
身份验证质询，因为 WebView 无需获取质询
必须做一些特别的事情；但 TLS 连接失败
身份验证挑战，因为代表必须选择这些
挑战。您真正需要的是 WebView 版本
“canAuthenticateAgainstProtectionSpace”身份验证质询。
嗯，事实证明，这个确实是实现了。在寻找
通过开源的WebView，我发现有一个私有的
委托回调，
-webView:资源:canAuthenticateAgainstProtectionSpace:forDataSource:,
这正是你想要的。
http://www.opensource.apple .com/source/WebKit/WebKit-7533.20.25/mac/WebView/WebResourceLoadDelegatePrivate.h
如果您实现该方法，您可以选择使用客户端身份
身份验证质询，并根据该质询向用户呈现
允许用户选择身份的界面。我制作了原型
这在您的测试应用程序中非常有用。这是我以前使用的代码
获取客户身份挑战：
- (BOOL)webView:(WebView *)发件人资源:(id)标识符 canAuthenticateAgainstProtectionSpace:(NSURLProtectionSpace
*)DataSource 的保护空间:(WebDataSource *)dataSource {
NSLog(@"%@", [保护空间认证方法]);
return [[protectionSpaceauthenticationMethod]isEqual:NSURLAuthenticationMethodClientCertificate];这是
我用来回复它的代码：
- (void)webView:(WebView *)发送者资源:(id)标识符 didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge
*）来自DataSource的挑战：（WebDataSource *）dataSource {
NSLog(@"didReceiveAuthenticationChallenge");
NSString *authenticationMethod = [[挑战保护空间]authenticationMethod];
NSLog(@" 身份验证方法 = %@", 身份验证方法);

 [[挑战发送者] continueWithoutCredentialForAuthenticationChallenge:challenge]; }

显然，在真正的应用程序中，您需要显示一些 UI，然后，一次
用户已选择客户端身份，为其创建凭证
(+[NSURLCredential credentialWithIdentity:证书:持久性:])
然后将该凭证应用于挑战
(-useCredential:forAuthenticationChallenge:)。
* * * 那么您从这里开始往哪里走呢？无论你做什么，你都应该
针对 WebView 提交错误以获取
-webView:resource:canAuthenticateAgainstProtectionSpace:forDataSource：在公共标头中发布的委托回调。这是一个显而易见的、
最烦人的是遗漏。 http://developer.apple.com/bugreporter/
提交错误后，请将错误编号发送给我，以便我可以
与这起事件联系起来。除此之外，前进的道路就更少了
清除。如果您要创建非 Mac App Store 应用程序，我的建议
就是你只需实施
正如我所见，“canAuthenticateAgainstProtectionSpace”委托回调
如上所示并继续你的生活。 OTOH，如果你正在创建一个
Mac App Store应用程序，其中使用私有API，包括委托
回调是严格禁止的，生活会变得更加棘手。让我
了解这种情况，我们可以讨论您的选择。分享并享受

Answer 2

设置 WebResourceLoadDelegate 并实现身份验证挑战相关的委托方法。收到身份验证质询时，系统会提示您，此时您可以提供要使用的证书。

预计到达时间：以下是如何从存储在 clientSide.p12 中的证书创建 NSURLCredential：

NSString *thePath = [[NSBundle mainBundle]
        pathForResource:@"clientside" ofType:@"p12"];
NSData *PKCS12Data = [[NSData alloc] initWithContentsOfFile:thePath];
CFDataRef inPKCS12Data = (CFDataRef)PKCS12Data;    
SecIdentityRef identity;
SecTrustRef trust;
extractIdentityAndTrust(inPKCS12Data, &identity, &trust);

SecCertificateRef certificate = NULL;
SecIdentityCopyCertificate (identity, &certificate); 

const void *certs[] = {certificate};
CFArrayRef certArray = CFArrayCreate(kCFAllocatorDefault, certs, 1, NULL);

NSURLCredential *credential = [NSURLCredential
        credentialWithIdentity:identity
        certificates:(NSArray*)certArray
        persistence:NSURLCredentialPersistencePermanent];

这来自另一个问题。您可能还会发现这个问题很有帮助。我通过谷歌搜索“nsurlcredential 证书”找到了这些。