Swift中Alamofire证书固定HTTPS请求失败及Tomcat客户端认证问题

我来帮你梳理这两个关联的SSL/TLS配置问题，一步步排查解决：

证书固定失败通常是证书匹配、代码配置或服务器端证书链的问题，你可以按以下步骤排查：

• 确认证书文件的有效性：要确保导入的是服务器的根证书/完整证书链，而非仅叶子证书，且格式为DER或PEM（Alamofire支持这两种）。可以用命令验证证书信息：

  openssl x509 -in your-server-cert.crt -text -noout
  

  重点核对证书的过期时间、域名匹配（CN/SAN字段）是否和请求的服务器一致。
• 检查Alamofire证书固定代码：确保ServerTrustManager配置正确，比如包含完整的证书链，且开启域名验证。示例代码如下：

  // 从Bundle加载证书
  guard let certPath = Bundle.main.path(forResource: "server-root-cert", ofType: "der"),
        let certData = try? Data(contentsOf: URL(fileURLWithPath: certPath)),
        let certificate = SecCertificateCreateWithData(nil, certData as CFData) else {
      fatalError("证书加载失败")
  }
  
  // 配置证书固定评估器
  let serverTrustManager = ServerTrustManager(evaluators: [
      "your-server-domain.com": PinnedCertificatesTrustEvaluator(
          certificates: [certificate],
          validateHost: true
      )
  ])
  
  // 用配置好的Session发起请求
  let session = Session(serverTrustManager: serverTrustManager)
  session.request("https://your-server-domain.com/api-endpoint")
      .responseJSON { response in
          // 处理响应或错误
          print(response)
      }
  

• 验证服务器端证书链：用浏览器访问服务器HTTPS地址，查看证书详情，确认证书链完整（没有缺失中间证书），如果链不完整，Alamofire的证书固定会直接失败。
• 排除系统证书干扰：如果测试设备/模拟器安装过自定义根证书，可能会影响Alamofire的验证逻辑，测试前可以删除无关的第三方证书。

当Tomcat开启强制客户端证书认证（clientAuth=true）时，iOS应用必须主动提供Tomcat信任的客户端证书才能完成SSL握手，否则会触发底层连接错误，表现为你看到的_BSMachError日志。解决步骤如下：

• 准备并导入客户端证书：将客户端证书（通常为.p12格式）添加到iOS应用的Bundle中，确保证书密码正确，且该证书的根CA已被添加到Tomcat的truststore中（Tomcat需要信任客户端证书的签发方）。
• 在Alamofire中配置客户端证书认证：在Session中添加客户端证书源，示例代码：

  // 加载客户端.p12证书
  guard let pkcs12URL = Bundle.main.url(forResource: "client-cert", withExtension: "p12"),
        let pkcs12Data = try? Data(contentsOf: pkcs12URL) else {
      fatalError("客户端证书加载失败")
  }
  
  let certPassword = "your-p12-password"
  let clientCertificate = try! PKCS12(data: pkcs12Data, password: certPassword)
  
  // 结合之前的证书固定配置，创建带客户端证书的Session
  let session = Session(
      serverTrustManager: serverTrustManager,
      clientCertificateSource: .certificates([clientCertificate.certificate])
  )
  
  // 发起请求
  session.request("https://your-tomcat-server:8443/rest-api")
      .response { response in
          print(response)
      }
  

• 检查Tomcat的SSL配置：确保server.xml中的SSLConnector配置正确，比如指定了信任客户端证书的truststore，示例配置：

  <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
             maxThreads="150" SSLEnabled="true">
      <SSLHostConfig>
          <Certificate certificateKeystoreFile="conf/server-keystore.jks"
                       type="RSA"
                       certificateKeystorePassword="server-keystore-pass"
                       truststoreFile="conf/client-truststore.jks"
                       truststorePassword="truststore-pass"
                       clientAuth="true" />
      </SSLHostConfig>
  </Connector>
  

• 调试SSL握手过程：可以用Charles抓包工具（需在iOS设备安装Charles根证书）查看SSL握手阶段的交互，确认客户端证书是否被正确发送，或者是否存在证书不被信任的情况。

内容的提问来源于stack exchange，提问作者Shobhana Sriram