iOS開發AFN配置HTTPS的SSL證書

原定於2017年1月1日起所有提交到 App Store 的App必須強制開啓 ATS，需要配置Https。但是現在不需要了，無固定期限的往後延期了，但是這個還是得弄明白下爲好，說不定哪天突然就讓弄了。
一、 2017年1月1日起所有提交到 App Store 的App必須強制開啓 ATS。
就是要求去掉 Info.plist 的 NSAllowsArbitraryLoads
1.這要求所有通過APP發送的網絡請求都需要https

2.開啓ATS，圖片（例如圖像的URL）等靜態文件的url需要用https，否則會無法加載；

3.對於H5，網頁瀏覽和視頻播放的行爲，iOS 10 中新加入了NSAllowsArbitraryLoadsInWebContent 鍵。通過將它設置爲 YES ，
可以讓你的 app 中的 WKWebView 和使用 AVFoundation 播放的在線視頻不受 ATS 的限制。
這也應該是絕大多數使用了相關特性的 app 的選擇。但是壞消息是這個鍵在 iOS 9 中並不會起作用.

4.iOS9中可以選擇使用 NSExceptionDomains 來針對特定的域名開放 HTTP 應該要相對容易過審覈。“需要訪問的域名是第三方服務器，他們沒有進行 HTTPS 對應”會是審覈時的一個可選理由，但是這應該只需要針對特定域名，而非全面開放。如果訪問的是自己的服務器的話，可能這個理由會無法通過。是需要在Info.plist 配置中的XML源碼

 <key>NSAppTransportSecurity</key>  
 <dict>  
     <key>NSExceptionDomains</key>  
     <dict>  
         <key>XXX.com</key>  
         <dict>  
             <!--適用於這個特定域名下的所有子域-->  
             <key>NSIncludesSubdomains</key>  
             <true/>  
             <!--擴展可接受的密碼列表：這個域名可以使用不支持 forward secrecy 協議的密碼-->  
             <key>NSExceptionRequiresForwardSecrecy</key>  
             <false/>  
             <!--允許App進行不安全的HTTP請求-->  
             <key>NSExceptionAllowsInsecureHTTPLoads</key>  
             <true/>  
             <!--在這裏聲明所支持的 TLS 最低版本-->  
             <key>NSExceptionMinimumTLSVersion</key>  
             <string>TLSv1.1</string>  
         </dict>  
     </dict>  
 </dict>  

二、 目前項目中用到的第三方已經支持https的有

WKWebView  
UIWebView  
SDWebImage  
 支付寶SDK  
 微信支付SDK  
 友盟SDK  
 極光推送SDK  
其中用到的UIWebView 以後要逐步替換爲WKWebView 

上面內容參考於：http://blog.csdn.net/zhangmengleiblog/article/details/53536956

三、下面是在AFN中配置實例：
+ (AFSecurityPolicy*)customSecurityPolicy
{
// /先導入證書
NSString *cerPath = [[NSBundle mainBundle] pathForResource:@"hgcang" ofType:@"cer"];//證書的路徑
NSData *certData = [NSData dataWithContentsOfFile:cerPath];

// AFSSLPinningModeCertificate 使用證書驗證模式
AFSecurityPolicy *securityPolicy = [AFSecurityPolicy policyWithPinningMode:AFSSLPinningModeCertificate];

// allowInvalidCertificates 是否允許無效證書（也就是自建的證書），默認爲NO
// 如果是需要驗證自建證書，需要設置爲YES
securityPolicy.allowInvalidCertificates = YES;

//validatesDomainName 是否需要驗證域名，默認爲YES；
//假如證書的域名與你請求的域名不一致，需把該項設置爲NO；如設成NO的話，即服務器使用其他可信任機構頒發的證書，也可以建立連接，這個非常危險，建議打開。
//置爲NO，主要用於這種情況：客戶端請求的是子域名，而證書上的是另外一個域名。因爲SSL證書上的域名是獨立的，假如證書上註冊的域名是www.google.com，那麼mail.google.com是無法驗證通過的；當然，有錢可以註冊通配符的域名*.google.com，但這個還是比較貴的。
//如置爲NO，建議自己添加對應域名的校驗邏輯。
securityPolicy.validatesDomainName = NO;

securityPolicy.pinnedCertificates = @[certData];

return securityPolicy;
}

將上面的方法添加到我們AFN請求數據中
+ (void)post:(NSString *)url params:(NSDictionary *)params success:(void (^)(id))success failure:(void (^)(NSError *))failure
{
// 1.獲得請求管理者
AFHTTPRequestOperationManager *mgr = [AFHTTPRequestOperationManager manager];
// 2.申明返回的結果是text/html類型
mgr.responseSerializer = [AFHTTPResponseSerializer serializer];

// 加上這行代碼，https ssl 驗證。
//[mgr setSecurityPolicy:[self customSecurityPolicy]];

// 3.發送POST請求
[mgr POST:url parameters:params
  success:^(AFHTTPRequestOperation *operation, id responseObj) {
      if (success) {
          success(responseObj);
      }
  } failure:^(AFHTTPRequestOperation *operation, NSError *error) {
      if (failure) {
          failure(error);
      }
  }];
}

上面參考於 http://blog.csdn.net/canlanyangg/article/details/53559597 這篇文章。
四.關於證書 參考文章:http://www.2cto.com/Article/201510/444706.html
服務端給的是crt後綴的證書，其中iOS客戶端用到的cer證書，是需要開發人員轉換：
1.證書轉換
在服務器人員，給你發送的crt證書後，進到證書路徑，執行下面語句

openssl x509 -in 你的證書.crt -out 你的證書.cer -outform der

這樣你就可以得到cer類型的證書了。雙擊，導入電腦。
2.證書放入工程
1、可以直接把轉換好的cer文件拖動到工程中。
2、可以在鑰匙串內，找到你導入的證書，單擊右鍵，導出項目，就可以導出.cer文件的證書了

參考鏈接:http://www.jianshu.com/p/97745be81d64。

五.在info.plist去掉之前允許http加載的代碼 就是刪除下面的代碼(麼有的就省了這一步)

<key>NSAppTransportSecurity</key>  
<dict>  
<key>NSAllowsArbitraryLoads</key>  
<true/>  
</dict>  

六、可能出現的問題：
6.1服務器可能出現的問題：

Error Domain=NSURLErrorDomain Code=-1200 "發生了 SSL 錯誤，無法建立與該服務器的安全連接。" UserInfo=    {NSURLErrorFailingURLPeerTrustErrorKey=<SecTrustRef:     0x15dd87140>, NSLocalizedRecoverySuggestion=您仍要連接此服務器嗎？, _kCFStreamErrorDomainKey=3, _kCFStreamErrorCodeKey=-9802, NSErrorPeerCertificateChainKey=<CFArray 0x15df6b640 [0x1a08d5150]>{type = immutable, count = 1, values = (
0 : <cert(0x15f3559e0) s: dbh i: dbh>
)}, NSUnderlyingError=0x15dd5f770 {Error Domain=kCFErrorDomainCFNetwork Code=-1200 "(null)" UserInfo={_kCFStreamPropertySSLClientCertificateState=0, kCFStreamPropertySSLPeerTrust=<SecTrustRef: 0x15dd87140>, _kCFNetworkCFStreamSSLErrorOriginalValue=-9802, _kCFStreamErrorDomainKey=3, _kCFStreamErrorCodeKey=-9802, kCFStreamPropertySSLPeerCertificates=<CFArray 0x15df6b640 [0x1a08d5150]>{type = immutable, count = 1, values = (
0 : <cert(0x15f3559e0) s: dbh i: dbh>
)}}}, NSLocalizedDescription=發生了 SSL 錯誤，無法建立與該服務器的安全連接。, NSErrorFailingURLKey=https://192.168.1.138/app/login/login.json, NSErrorFailingURLStringKey=https://192.168.1.138/app/login/login.json, NSErrorClientCertificateStateKey=0}

可能是服務器配置的證書不對，蘋果要求是TLS1.2，服務端配置是TLS1.0。
也有可能是後臺簽名算法問題 https://my.oschina.net/vimfung/blog/494687
6.2、證書一定要拉到項目裏面，AFN加了驗證之後，看看獲取證書的certData是否爲空。如果爲空，則證書有問題
NSData *certData = [NSData dataWithContentsOfFile:cerPath];