Question

我尝试配置ATS以允许来自我的域的http加载，但是使用下面的plist设置仍然阻止对图像请求的访问（但奇怪的是，不是http＆＃39; POST＆＃39;消息）。如果我启用允许任意负载，它工作正常。获取图像的代码使用NSURLConnection sendAsynchronousRequest（例如）http://www.my-domain.com/ImageStore/aFolder/bfolder/xyz.jpg的url。我正在使用最新更新从模拟器运行。我无法找到其他报告类似问题的人......我做错了什么？

警告讯息：

App Transport Security已阻止明文HTTP（http：//）资源加载，因为它不安全。可以通过应用程序的Info.plist文件配置临时例外。

info.plist设置：

<key>NSAppTransportSecurity</key>
    <dict>
        <key>NSAllowsArbitraryLoads</key>
        <false/>
        <key>NSExceptionDomains</key>
        <dict>
            <key>my-domain.com</key>
            <dict>
                <key>NSExceptionAllowsInsecureHTTPLoads</key>
                <true/>
                <key>NSExceptionRequiresForwardSecrecy</key>
                <false/>
                <key>NSIncludesSubDomains</key>
                <true/>
                <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
                <true/>
                <key>NSTemporaryExceptionRequiresForwardSecrecy</key>
                <false/>
            </dict>
        </dict>
    </dict>

Answer 1

您正在为NSAppTransportSecurity正确设置全局设置。我已经包含了一个适用于我的应用程序的版本。

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>my-domain.com</key>
        <dict>
            <key>NSIncludesSubdomains</key>
            <true/>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
        </dict>
    </dict>
</dict>

来自iOS 9.0的发行说明

App Transport Security

App Transport Security（ATS）强制执行安全方面的最佳做法   应用程序与其后端之间的连接。 ATS防止意外   披露，提供安全的默认行为，易于采用;它   在iOS 9和OS X v10.11中默认也是打开的。你应该采用ATS   尽快，无论您是否正在创建新的应用程序   或更新现有的。

如果您正在开发新应用，则应该专门使用HTTPS。如果   你有一个现有的应用程序，你应该尽可能多地使用HTTPS   现在，并创建一个计划，以迁移您的应用程序的其余部分   尽快。另外，您通过更高层次的沟通   API需要使用具有前向保密性的TLS 1.2版进行加密。   如果您尝试建立不符合此要求的连接，   抛出错误。如果您的应用需要向不安全的用户提出请求   域，您必须在应用的Info.plist文件中指定此域。

与NSURLSession联网的

Apple's WWDC video也提到了ATS

iOS App Transport Security阻止来自例外域的http转移

1 个答案: