React Native iOS项目Objective-C嵌入SSL证书遇403错误求助

以下是针对你遇到的问题的分步排查要点，结合你提到的MyURLSessionDelegate.mm、AppDelegate.mm和info.plist配置逐一分析：

1. 证书本身有效性验证 #

• 确认你的.pem文件是包含私钥的客户端证书，而非仅CA根证书。客户端SSL双向认证需要证书+私钥配对，缺失私钥会直接导致服务器拒绝请求（返回403）。
• 用openssl命令检查证书信息：

  openssl x509 -in your-cert.pem -text -noout
  

  重点核对：
  • Validity：证书是否在有效期内
  • Subject：是否与服务器要求的客户端身份匹配
  • 若证书包含私钥，可通过openssl rsa -in your-cert.pem -check验证私钥有效性

2. 证书加载逻辑检查（MyURLSessionDelegate） #

• 确认证书已添加到Xcode项目，并勾选了当前target（在文件检查器的"Target Membership"中验证）。
• 检查代码中证书路径是否正确：

  NSString *certPath = [[NSBundle mainBundle] pathForResource:@"your-cert" ofType:@"pem"];
  NSData *certData = [NSData dataWithContentsOfFile:certPath];
  // 添加日志确认数据是否加载成功
  NSLog(@"Cert data loaded: %@", certData ? @"YES" : @"NO");
  

• 若.pem包含私钥，直接加载可能无法生成SecIdentityRef，建议将证书+私钥转换为PKCS#12（.p12）格式，再通过以下方式加载：

  NSData *p12Data = [NSData dataWithContentsOfFile:p12Path];
  CFStringRef password = CFSTR("your-p12-password");
  const void *keys[] = { kSecImportExportPassphrase };
  const void *values[] = { password };
  CFDictionaryRef options = CFDictionaryCreate(NULL, keys, values, 1, NULL, NULL);
  // 后续解析SecIdentityRef...
  

3. URLSession认证挑战处理逻辑 #

检查URLSession:didReceiveChallenge:completionHandler:方法是否正确响应客户端证书挑战：

• 确保正确判断挑战类型：

  if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodClientCertificate]) {
      // 处理客户端证书认证
  } else {
      // 其他挑战类型默认处理
      completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
      return;
  }
  

• 确认SecIdentityRef和证书数组正确生成并传递：
  若生成SecIdentityRef失败，服务器会因未收到有效客户端证书返回403，需添加日志验证identity是否为nil。

4. AppDelegate中URLSession配置验证 #

• 确认自定义URLSession已正确绑定MyURLSessionDelegate实例，且未被React Native默认网络库覆盖：

  MyURLSessionDelegate *delegate = [[MyURLSessionDelegate alloc] init];
  NSURLSessionConfiguration *config = [NSURLSessionConfiguration defaultSessionConfiguration];
  NSURLSession *session = [NSURLSession sessionWithConfiguration:config delegate:delegate delegateQueue:nil];
  

• 若使用React Native的fetch或第三方网络库（如axios），需确保它们使用了自定义的URLSession，否则默认网络栈不会应用你的证书配置。

5. info.plist ATS配置检查 #

• 检查NSAppTransportSecurity配置，确保目标域名未被ATS拦截：

  <key>NSAppTransportSecurity</key>
  <dict>
      <key>NSExceptionDomains</key>
      <dict>
          <key>your-api-domain.com</key>
          <dict>
              <key>NSIncludesSubdomains</key>
              <true/>
              <key>NSExceptionRequiresForwardSecrecy</key>
              <false/>
              <key>NSExceptionAllowsInsecureHTTPLoads</key>
              <false/> <!-- 仅当服务器使用HTTP时开启，HTTPS保持false -->
          </dict>
      </dict>
  </dict>
  

  注意：ATS配置错误可能导致连接提前终止，表现为403，但本质是证书认证前的连接问题。

6. 服务器端日志排查 #

最直接的方式是联系服务器运维，查看API请求的详细日志，确认403的具体原因：

• 是"客户端证书未提供"？
• 还是"证书无效/过期"？
• 或是"证书权限不足"？
  服务器日志会给出精准的错误信息，大幅缩小排查范围。

请提供上述文件的具体代码片段，以便进一步定位问题。

内容的提问来源于stack exchange，提问作者Pranjali Wagh