什麼是雙向認證呢？簡而言之，就是伺服器端對請求它的客戶端要進行身份驗證，客戶端對自己所請求的伺服器也會做身份驗證。服務端一旦驗證到請求自己的客戶端為不可信任的，服務端就拒絕繼續通訊。客戶端如果發現服務端為不可信任的，那麼也中止通訊。

        雙向認證的演算法理論是RSA，(點選此處瞭解RSA演算法原理)。 雙向認證具體又是通過安全證書的方式來實現的，安全證書可用openssl或java程式來生成，用於雙向認證的安全證書中儲存了金鑰對，證書頒發機構信 息，簽名信息，簽名演算法，頒發物件，有效期等資訊。雙向認證中安全證書分為伺服器端證書和客戶端證書，用伺服器端證書中的私鑰對客戶端證書進行簽名，並把 簽名信息寫到客戶端證書中，就得到了被服務端信任的證書。當客戶端請求該服務端時，服務端為拿到客戶端證書資訊，然後取出證書中的簽名信息，用伺服器端證 書的公鑰驗證，如果發現這個客戶端證書確實是伺服器端證書籤名頒發的，那麼通訊就可以繼續進行，否則中斷。

        上面簡單介紹了一下雙向認證和安全證書，那麼我們現在開始正題。

        首先，我們用java生成一個伺服器端證書庫myserverdomain和客戶端證書庫wenfeng.xu，取出伺服器端的證書庫中的證書為客戶端證 書庫簽名並生成PKCS12格式的證書檔案wenfeng.xu.pfx。然後我們將伺服器端證書配置在應用伺服器中，並啟用客戶端認證。以jetty為 例，以下為配置方法：

   啟動應用伺服器，並用與生成服務端證書一致的域名訪問應用（注意這點非常重要，ASIHTTPRequest如果不這麼做是會報錯的，這個域名可以隨便 取，只要更改系統的host配置，讓域名指向服務端ip就行了）。如果你用瀏覽器訪問已啟動的應用，如果看到以下資訊，就可以開始oc客戶端的編碼了。

      在引入了ASIHTTPRequest框架的專案中新建測試類Https.m

1. @implementation Https  
2. + (void)testClientCertificate {  
3.     NSURL *httpsUrl = [NSURL URLWithString:@"https://www.myserverdomain.com:8443/smvcj"];//訪問路徑  
4.     ASIHTTPRequest *request = [ASIHTTPRequest requestWithURL:httpsUrl];  
5.     SecIdentityRef identity = NULL;  
6.     SecTrustRef trust = NULL;  
7.     //繫結證書，證書放在Resources資料夾中  
8.     NSData *PKCS12Data = [NSData dataWithContentsOfFile:[[NSBundle mainBundle] pathForResource:@"wenfeng.xu" ofType:@"pfx"]];//證書檔名和檔案型別  
9.     [Https extractIdentity:&identity andTrust:&trust fromPKCS12Data:PKCS12Data];  
10.     request = [ASIHTTPRequest requestWithURL:httpsUrl];  
11.     [request setClientCertificateIdentity:identity];//設定訪問路徑  
12.     [request setValidatesSecureCertificate:NO];//是否驗證伺服器端證書，如果此項為yes那麼伺服器端證書必須為合法的證書機構頒發的，而不能是自己用openssl 或java生成的證書  
13.     [request startSynchronous];  
14.     NSError *error = [request error];  
15.     if (!error) {  
16.         NSString *response = [request responseString];  
17.         NSLog(@"response is : %@",response);  
18.     } else {  
19.         NSLog(@"Failed to save to data store: %@", [error localizedDescription]);  
20.         NSLog(@"%@",[error userInfo]);  
21.     }  
22. }  
23. + (BOOL)extractIdentity:(SecIdentityRef *)outIdentity andTrust:(SecTrustRef*)outTrust fromPKCS12Data:(NSData *)inPKCS12Data {  
24.     OSStatus securityError = errSecSuccess;  
25.     CFStringRef password = CFSTR("[email protected]"); //證書密碼  
26.     const void *keys[] =   { kSecImportExportPassphrase };  
27.     const void *values[] = { password };  
28.     CFDictionaryRef optionsDictionary = CFDictionaryCreate(NULL, keys,values, 1,NULL, NULL);  
29.     CFArrayRef items = CFArrayCreate(NULL, 0, 0, NULL);  
30.     //securityError = SecPKCS12Import((CFDataRef)inPKCS12Data,(CFDictionaryRef)optionsDictionary,&items);  
31.     securityError = SecPKCS12Import((CFDataRef)inPKCS12Data,optionsDictionary,&items);  
32.     if (securityError == 0) {  
33.         CFDictionaryRef myIdentityAndTrust = CFArrayGetValueAtIndex (items, 0);  
34.         const void *tempIdentity = NULL;  
35.         tempIdentity = CFDictionaryGetValue (myIdentityAndTrust, kSecImportItemIdentity);  
36.         *outIdentity = (SecIdentityRef)tempIdentity;  
37.         const void *tempTrust = NULL;  
38.         tempTrust = CFDictionaryGetValue (myIdentityAndTrust, kSecImportItemTrust);  
39.         *outTrust = (SecTrustRef)tempTrust;  
40.     } else {  
41.         NSLog(@"Failed with error code %d",(int)securityError);  
42.         return NO;  
43.     }  
44.     return YES;  
45. }  
46. @end  

    在專案中呼叫  testClientCertificate方法，發現會報以下錯誤

1. 2014-01-04 15:49:51.194 Mac[661:303] CFNetwork SSLHandshake failed (-9807)  
2. 2014-01-04 15:49:51.203 Mac[661:303] Failed to save to data store: A connection failure occurred: SSL problem (Possible causes may include a bad/expired/self-signed certificate, clock set to wrong date)  
3. 2014-01-04 15:49:51.204 Mac[661:303] {  
4.     NSLocalizedDescription = "A connection failure occurred: SSL problem (Possible causes may include a bad/expired/self-signed certificate, clock set to wrong date)";  
5.     NSUnderlyingError = "Error Domain=NSOSStatusErrorDomain Code=-9807 \"The operation couldn\U2019t be completed. (OSStatus error -9807.)\" (errSSLXCertChainInvalid: Invalid certificate chain )";  
6. }  

  怎麼會這樣？分析最後一句“Invalid certificate chain” 意思是無效的證書鏈。因為每一個證書中都有一個證書鏈，來表示這個證書的層次結構。報這個錯是因為這個客戶端證書的最頂層是我們自己建立的證書，而不是合 法的證書機構頒發的。每個作業系統預設會把一些公認的證書機構頒發的公鑰證書存在系統信認的根證書庫中，以便信任由這些公認的證書機構簽名給其它使用者的證 書。那麼如何在測試環境中避免這個錯？我們只要修改ASIHTTPRequest框架中的相關配置就行了，開啟ASIHTTPRequest.m檔案，查 找“https”關健字，找到

1. NSMutableDictionary *sslProperties = [NSMutableDictionary dictionaryWithCapacity:1];  

 將其注掉，然後換成以下程式碼

1. NSMutableDictionary *sslProperties =[[NSMutableDictionary alloc] initWithObjectsAndKeys:  
2.                                               [NSNumber numberWithBool:YES], kCFStreamSSLAllowsExpiredCertificates,  
3.                                               [NSNumber numberWithBool:YES], kCFStreamSSLAllowsAnyRoot,  
4.                                               [NSNumber numberWithBool:NO],  kCFStreamSSLValidatesCertificateChain,  
5.                                               kCFNull,kCFStreamSSLPeerName,  
6.                                               nil];  

 解決我們的錯誤的關鍵程式碼是

     [NSNumber numberWithBool:NO],  kCFStreamSSLValidatesCertificateChain  表示不校驗證書鏈。

儲存一下再執行就可以正常訪問應用了。