移动端与服务端实现安全XMPP通信的方法及连接问题解决方案

5222是XMPP标准明文起始端口，默认通信逻辑是先建立明文TCP连接，再通过STARTTLS指令协商升级为TLS加密连接；5223是XMPP早期约定的隐式TLS直连端口，TCP连接建立后第一时间直接启动TLS握手，不存在明文协商阶段。仅修改端口号未调整客户端TLS连接逻辑，会导致TLS握手阶段直接失败，连接必然中断。

在调整客户端代码前，先确认服务端配置无问题：

• 网络层已放通5223端口TCP入站规则，包括服务器本地防火墙、云服务商安全组/ACL规则，可通过telnet 服务域名 5223命令确认端口可达
• 5223端口挂载的TLS证书有效：证书链完整、证书绑定域名和XMPP服务域一致、在有效期内，由公共可信CA签发（若使用自签名证书需单独在客户端配置证书锚点）
• 服务端TLS协议配置兼容移动端：至少支持TLS 1.2，若需兼容iOS 11及以下、Android 8及以下设备不要仅开启TLS 1.3
• 若使用Ejabberd、Openfire等标准XMPP服务端，确认5223端口的连接模式配置为direct_tls/old_ssl，不要给5223端口配置STARTTLS协商逻辑

iOS端（robbiehanson/XMPPFramework） #

• 初始化XMPPStream时指定5223端口，开启隐式TLS标记，核心代码如下：

XMPPStream *xmppStream = [[XMPPStream alloc] init];
xmppStream.hostName = @"你的XMPP服务访问域名";
xmppStream.hostPort = 5223;
// 核心配置：启用隐式SSL直连，对应5223端口的连接逻辑
xmppStream.oldSchoolSSL = YES;
// 后续按原有逻辑配置JID、密码、重连规则即可

• 隐式TLS模式下连接建立时已完成TLS握手，不要手动调用STARTTLS触发逻辑，否则会直接断连
• 正式环境不要全局关闭ATS校验，若证书符合ATS要求（TLS1.2+、可信CA签发、匹配域名）无需额外配置Info.plist的ATS例外项

Android端（Smack-android） #

• 构建连接配置时指定5223端口，将TLS安全模式设置为legacySSL，核心代码如下：

XMPPTCPConnectionConfiguration config = XMPPTCPConnectionConfiguration.builder()
        .setXmppDomain("你的XMPP服务域")
        .setHost("你的XMPP服务访问域名")
        .setPort(5223)
        // 核心配置：使用隐式SSL直连模式，不进行STARTTLS协商
        .setSecurityMode(ConnectionConfiguration.SecurityMode.legacySSL)
        // 正式环境不要自定义HostnameVerifier跳过域名校验
        .build();
AbstractXMPPConnection connection = new XMPPTCPConnection(config);
connection.connect();

• Android 9及以上默认禁止全局明文流量，若保留5222端口做STARTTLS升级，需单独配置network_security_config规则，不要全局放开明文权限

• 优先采用5222端口+强制STARTTLS模式，该模式符合XMPP现行RFC 6120标准，兼容性优于5223旧隐式TLS模式：服务端配置5222端口强制要求STARTTLS升级，拒绝所有未完成TLS加密的连接请求，安全等级和5223直连TLS完全一致，可避免旧SSL模式的各类兼容坑
• 不要使用自签名证书，不要在客户端代码中跳过证书链校验、域名校验逻辑，否则加密链路存在中间人攻击风险，完全失去通信加密的意义
• 不要在客户端硬编码连接端口、域名信息，优先通过XMPP SRV记录做服务发现，后续服务端端口、节点调整无需客户端发版
• 禁止客户端配置自动降级明文连接的逻辑，TLS握手失败直接抛出连接异常，不要为了连通性牺牲通信安全

内容的提问来源于stack exchange，提问作者Fowza