如何在不重建客户端的情况下动态地将多个客户端证书应用到OkHttp Client

Question

我有一个 Android 应用程序，应该能够分别使用不同的客户端证书连接到多个服务器。

将多个客户端证书动态添加到 OkHttp 客户端的正确方法是什么？

目前，当我应用新证书时，我正在调用此自定义方法：

private fun applyCertificate(certificatePath: String, password: String) {
    // load certificate into KeyStore
    FileInputStream(path).use {
      clientKeyStore.load(it, password.toCharArray())
    }
    // load KeyStore into KeyManagerFactory
    val keyManagerFactory = KeyManagerFactory.getInstance("X509")
    keyManagerFactory.init(clientKeyStore, null)
    // Initialize the SSL Context
    sslContext.init(keyManagerFactory.keyManagers, tmf.trustManagers, SecureRandom())
    
    // call newBuilder and set new socketFactory
    okHttpClient = okHttpClient.newBuilder()
      .sslSocketFactory(sslContext.socketFactory, tmf.trustManagers[0] as X509TrustManager)
      .build()
  }

我关心的是，

• 当我动态添加多个证书时，我将多次将新的 SSLSocketFactory 设置到 OkHttpClient 中，这样安全吗？做？

我不确定是否有更好的方法可以在不重建 OkHttpClient 的情况下执行此操作。

我确实注意到有一个库 okhttp-tls，对于这种配置来说，这是一个更好的库吗？

编辑：

只是为了澄清一下，

当我创建应用程序时，我正在初始化 okHttpClient 的全局实例。在应用程序的生命周期中，多个应用程序组件可以同时使用此全局实例。

fun initialSetup() {
  okHttpClient = OkHttpClient.Builder().build()
  ...
}

然后我收到一个需要证书身份验证的安全请求：

val call = okHttpClient.newCall(
  Request.Builder().url("https://pki.service.com/resource1")
    .build()
)
val httpResponse = call.execute()

....

if (httpResponse.code == HTTP_CERTIFICATE_AUTHENTICATION) {
  val certificate = getCertificatePathForServer()

  httpClient.applyCertificate(certificate.path, certificate.password)
  ...
  // retry call
}

并且 applyCertificate() 看起来像我上面解释的

private fun applyCertificate(certificatePath: String, password: String) {
    // load certificate into KeyStore
    FileInputStream(path).use {
      clientKeyStore.load(it, password.toCharArray())
    }
    // load KeyStore into KeyManagerFactory
    val keyManagerFactory = KeyManagerFactory.getInstance("X509")
    keyManagerFactory.init(clientKeyStore, null)
    // Initialize the SSL Context
    sslContext.init(keyManagerFactory.keyManagers, tmf.trustManagers, SecureRandom())

    // call newBuilder and set new socketFactory
    okHttpClient = okHttpClient.newBuilder()
      .sslSocketFactory(sslContext.socketFactory, tmf.trustManagers[0] as X509TrustManager)
      .build()
  }

那样：我的问题是，每次添加新证书时，我都会重新构建 OkHttpClient，当前使用的组件全局 OkHttpClient 实例可能会出现不需要的副作用，例如挂起的请求未完成或更糟的是崩溃。重建当前可能与 okHttpClient.newBuilder() 一起使用的 OkHttpClient 实例是否安全？

Answer 1

我确实注意到有一个库 okhttp-tls，对于这种配置来说，这是一个更好的库吗？

是的，该库非常适合于此。

HandshakeCertificates clientCertificates = new HandshakeCertificates.Builder()
    .addTrustedCertificate(...))
    .build();
OkHttpClient client = new OkHttpClient.Builder()
    .sslSocketFactory(clientCertificates.sslSocketFactory(), clientCertificates.trustManager())
    .build();