Scala用Dispatch下载Facebook头像遇TLS错误，能否忽略SSL验证？

问题背景 #

你遇到的情况很典型：用Dispatch 0.11.2发起HTTPS请求Facebook CDN的头像URL时抛出org.jboss.netty.handler.ssl.NotSslRecordException，但HTTP请求正常，浏览器访问该HTTPS链接也完全没问题。

核心原因 #

Dispatch 0.11.2是2014年的老旧版本，它依赖的Netty版本较低（Netty 3.x系列），而这个版本的Netty默认不支持SNI（Server Name Indication，服务器名称指示）。

Facebook的CDN属于共享主机服务，同一个IP对应多个域名，需要客户端在SSL握手时发送SNI字段，明确告知服务器要访问的具体域名。如果客户端不支持SNI，服务器可能返回非SSL格式的响应（比如直接返回HTTP内容），这就会让你的Dispatch客户端误以为收到的不是合法TLS记录，从而抛出异常。

而现代浏览器和新版本HTTP客户端都默认支持SNI，所以能正常访问该链接。

解决方案 #

方案1：升级Dispatch版本（推荐）

最稳妥且无安全风险的办法是升级到较新的Dispatch版本，比如0.13.x或更高版本。这些版本依赖的Netty已经原生支持SNI，默认配置就能正常处理这类HTTPS请求。

修改你的sbt依赖：

libraryDependencies += "net.databinder.dispatch" %% "dispatch-core" % "0.13.4"

升级后你的现有代码几乎不需要改动，就能正常发起HTTPS请求。

方案2：手动配置SSL上下文支持SNI（针对旧版本）

如果因为项目限制无法升级Dispatch，可以手动配置Netty的SSL处理器来添加SNI支持：

import dispatch._
import org.jboss.netty.handler.ssl.SslContextFactory
import org.jboss.netty.handler.ssl.util.InsecureTrustManagerFactory
import scala.concurrent.Await
import scala.concurrent.duration._

def fetchUrlWithSNI(uri: String): Array[Byte] = {
  // 构建支持SNI的SSL上下文
  val sslContext = SslContextFactory.newClientContext(
    InsecureTrustManagerFactory.INSTANCE.getTrustManagers
  )
  
  // 用自定义SSL上下文初始化Http客户端
  val http = Http.configure(_.setSslContext(sslContext))
  val svc = url(uri)
  val futureImg = http(svc OK as.Bytes)
  Await.result(futureImg, Duration(10, "seconds"))
}

⚠️ 注意：示例中用了InsecureTrustManagerFactory会跳过证书验证，仅适合测试场景。生产环境建议使用默认信任管理器，或者指定自定义信任库来保证安全。

方案3：临时忽略SSL验证（不推荐，仅测试用）

如果只是临时测试需求，可以配置Dispatch跳过SSL验证，但这会带来严重的安全隐患，绝对不建议在生产环境使用：

import dispatch._
import org.jboss.netty.handler.ssl.SslContextFactory
import org.jboss.netty.handler.ssl.util.InsecureTrustManagerFactory
import scala.concurrent.Await
import scala.concurrent.duration._

def fetchUrlInsecure(uri: String): Array[Byte] = {
  val insecureSslContext = SslContextFactory.newClientContext(
    InsecureTrustManagerFactory.INSTANCE.getTrustManagers
  )
  val http = Http.configure(_.setSslContext(insecureSslContext))
  val svc = url(uri)
  val futureImg = http(svc OK as.Bytes)
  Await.result(futureImg, Duration(10, "seconds"))
}

总结 #

本质问题是旧版本Dispatch的Netty不支持SNI，导致无法正确和Facebook的CDN建立SSL连接。优先推荐升级Dispatch版本，这是最安全且一劳永逸的解决办法；如果无法升级，再考虑手动配置SNI支持，尽量避免跳过SSL验证。

内容的提问来源于stack exchange，提问作者Andrew Bucknell