Xamarin.iOS中HttpClientHandler的SSL公钥固定失效，如何防御MITM攻击？

你在iOS端遇到的核心问题是证书链构建权限限制，以及公钥验证逻辑未正确识别中间人证书。下面是针对性的修正方案和替代实现：

一、修复现有公钥验证逻辑的遗漏点 #

1. 跳过系统证书链构建
   iOS平台对X509Chain.Build()有严格权限限制，直接调用会触发operation not permitted错误。你需要完全跳过系统链验证，直接提取远程证书的公钥与本地预存值对比，不要依赖链的构建结果。

2. 修正公钥对比逻辑
   确保提取的是证书的原始公钥字节（避免使用编码或哈希处理后的错误值），正确实现：

private bool ValidatePublicKey(X509Certificate cert)
{
    var remoteCert = new X509Certificate2(cert);
    // 提取远程证书的原始公钥字节
    byte[] remotePublicKey = remoteCert.PublicKey.EncodedKeyValue.RawData;
    // 本地预存的固定公钥（提前从服务器证书导出，转Base64存储）
    byte[] pinnedPublicKey = Convert.FromBase64String("你的公钥Base64字符串");

    // 严格对比字节数组
    return remotePublicKey.SequenceEqual(pinnedPublicKey);
}

3. 正确配置HttpClientHandler
   在iOS端，忽略回调中的chain参数，只处理传入的cert：

var handler = new HttpClientHandler();
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) =>
{
    if (cert == null) return false;
    return ValidatePublicKey(cert);
};

二、替代方案：将证书打包到应用中做全证书验证 #

如果公钥固定仍有问题，可以直接把服务器证书打包到应用资源中，对比证书的完整哈希：

1. 准备证书文件
   将服务器的DER/PEM格式证书添加到iOS项目，设置Build Action为BundleResource。

2. 读取本地证书并对比

private bool ValidateCertificate(X509Certificate2 remoteCert)
{
    using (var stream = NSBundle.MainBundle.GetResourceStream("server-cert.cer"))
    {
        byte[] localCertBytes = new byte[stream.Length];
        stream.Read(localCertBytes, 0, (int)stream.Length);
        var localCert = new X509Certificate2(localCertBytes);
        
        // 对比证书的SHA256哈希值
        byte[] remoteHash = remoteCert.GetCertHash(HashAlgorithmName.SHA256);
        byte[] localHash = localCert.GetCertHash(HashAlgorithmName.SHA256);
        
        return remoteHash.SequenceEqual(localHash);
    }
}

3. 配置ATS保持严格模式
   确保Info.plist中不添加信任第三方CA的配置，保持ATS默认的严格验证：

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <false/>
</dict>

三、iOS端特有注意事项 #

• iOS的HttpClient底层依赖系统Security Framework，必须完全自定义验证逻辑，才能避开MITM工具的干扰。
• 测试时要确保设备未信任代理CA（若设备信任了代理CA，系统可能绕过自定义验证），测试前需删除设备上的代理CA信任配置。

内容的提问来源于stack exchange，提问作者curiosolio