不同的结果SecTrustEvaluate针对不同的政策

Question

我没有在什么情况下，下面的情况发生（代码片段从AFSecurityPolicy.m，AFPublicKeyForCertificate功能，AFNetwork框架）了解一个证书：

policy = SecPolicyCreateBasicX509(); 
AF_Require_noErr(SecTrustCreateWithCertificates(tempCertificates, policy, &allowedTrust), _out); 
AF_Require_noErr(SecTrustEvaluate(allowedTrust, &result), _out); 
//result = 5 (kSecTrustResultRecoverableTrustFailure) 

//different policy 
policy = SecPolicyCreateSSL(true, (__bridge CFStringRef)@"www.MySite.com"); 
AF_Require_noErr(SecTrustCreateWithCertificates(tempCertificates, policy, &allowedTrust), _out); 
AF_Require_noErr(SecTrustEvaluate(allowedTrust, &result), _out); 
//result = 4 (kSecTrustResultUnspecified) 

证书有效期并没有过期。签名算法SHA-1。不明白为什么它会返回kSecTrustResultRecoverableTrustFailure而不是kSecTrustResultUnspecified for SecPolicyCreateBasicX509。

Answer 1

请仔细阅读Apple's documentation for Certificate, Key, and Trust Services

的SecTrustEvaluate功能通过验证其签名加在其证书链中的证书，到锚证书的签名，根据一个或多个策略验证证书列入信任管理对象。

作为一项规则，你应该如下处理各种返回值：

• kSecTrustResultUnspecified评价 - 成功地达到了（隐含信任）锚证书没有任何评估失败，但从来没有遇到过任何明确说明，用户信任偏爱。这是最常见的返回值。
• kSecTrustResultRecoverableTrustFailure - 这意味着你不应该信任链，但是可以通过对评估上下文进行一些小改动来信任该链，比如忽略过期证书或向可信锚定集添加附加锚点。