android-security - 当我们不直接使用代码时如何修复 Google App 漏洞 - TrustManager？

Question

该应用程序一直很好，直到最近我们开始从 Google 收到有关 TrustManager 漏洞的邮件。我们不直接使用 TrustManager。所以唯一的可能性来自那些依赖。我们对包含“TrustManager”并返回很多的地方进行了快速搜索。

根据谷歌的说法，我们应该在下面修复它。我们如何在 Flutter 项目中自定义这些代码？

要正确处理 SSL 证书验证，请更改自定义 X509TrustManager 接口的 checkServerTrusted 方法中的代码，以在服务器提供的证书不符合您的期望时引发 CertificateException 或 IllegalArgumentException。特别是，请注意以下陷阱：

确保 checkServerTrusted 引发的异常未在方法中捕获。这将导致 checkServerTrusted 正常退出，导致应用信任有害证书。不要使用 checkValidity 来审查服务器证书。checkValidity 检查证书是否未过期，并且无法判断证书是否不应该被信任。

标签： android-securitytrustmanager

Answer 1

在我们的案例中，它是由阿里 OSS 或阿里 VOD SDK 引起的。