HTTPDNS:ネイティブ iOS シナリオで HTTPDNS を使用する

3.1 プレーン HTTP シナリオ

プレーン HTTP リクエストの場合、ネットワークパスには TLS/SSL ハンドシェイクや証明書の検証は含まれません。HTTPDNS を統合するためのコア操作は、HTTP レイヤーでのみ実行されます。

1. リクエスト URL の Host を HTTPDNS によって名前解決された IP アドレスに置き換えます。

   • たとえば、元のリクエスト URL が http://example.com/api で、HTTPDNS がそれを IP アドレス 1.2.3.4 に名前解決した場合、URL を http://1.2.3.4/api に変更します。

2. HTTP ヘッダーの Host を元のドメイン名に明示的に設定します。

   • NSMutableURLRequest を使用する場合は、request.allHTTPHeaderFields[@"Host"] = @"example.com"; をリクエスト ヘッダーに追加します。これにより、サーバーはアプリケーション層で正しいドメイン名を識別できます。

3.2 HTTPS 非 SNI シナリオ

SNI を使用しない、または少数の固定ドメイン名のみをカバーする証明書を使用する HTTPS サイトの場合、次のように NSURLSession レイヤーで HTTPDNS を統合し、証明書検証を実行できます。

1. リクエスト URL の Host を HTTPDNS によって名前解決された IP アドレスに置き換えます。

   • たとえば、元のリクエスト URL が https://example.com/api で、HTTPDNS がそれを IP アドレス 1.2.3.4 に名前解決した場合、URL を https://1.2.3.4/api に変更します。

2. HTTP ヘッダーの Host を元のドメイン名に明示的に設定します。

   • 同様に、NSMutableURLRequest で request.allHTTPHeaderFields[@"Host"] = @"example.com"; を設定できます。

3. 証明書検証プロセスをフックします。

   • これは HTTPS リクエストであるため、TLS ハンドシェイク中に証明書の検証が必要です。この時点で、IP アドレスをチェック用の Host として直接使用すると、ドメイン名と証明書の不一致の問題が発生します。

   • NSURLSessionDelegate のコールバックメソッド URLSession:didReceiveChallenge:completionHandler: で serverTrust オブジェクトを検証する際に、IP アドレスを元のドメイン名 (例: example.com) に置き換えます。これにより、リクエストが証明書検証をパスできるようになります。

   • コード例:

     - (void)URLSession:(NSURLSession *)session
                   task:(NSURLSessionTask *)task
     didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
       completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition,
                                   NSURLCredential *credential))completionHandler {
         if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
             NSString *originalHost = [self getOriginalHostFromRequest:task.originalRequest];
             SecTrustRef serverTrust = challenge.protectionSpace.serverTrust;
             if ([self evaluateServerTrust:serverTrust forDomain:originalHost]) {
                 // 証明書が検証されました。
                 NSURLCredential *credential = [NSURLCredential credentialForTrust:serverTrust];
                 completionHandler(NSURLSessionAuthChallengeUseCredential, credential);
             } else {
                 // 証明書の検証に失敗しました。デフォルトのハンドラを使用します。
                 completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
             }
         } else {
             completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
         }
     }
     
     - (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust forDomain:(NSString *)domain {
         // 証明書検証ポリシーを作成します。
         NSMutableArray *policies = [NSMutableArray array];
         if (domain) {
             [policies addObject:(__bridge_transfer id) SecPolicyCreateSSL(true, (__bridge CFStringRef) domain)];
         } else {
             [policies addObject:(__bridge_transfer id) SecPolicyCreateBasicX509()];
         }
     
         // 検証ポリシーをサーバー証明書にバインドします。
         SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef) policies);
         // 現在の serverTrust が信頼できるかどうかを評価します。Apple は、結果が kSecTrustResultUnspecified または kSecTrustResultProceed の場合に serverTrust が検証可能であることを推奨しています。詳細については、https://developer.apple.com/library/ios/technotes/tn2232/_index.html をご参照ください。
         // SecTrustResultType の詳細については、SecTrust.h をご参照ください。
         SecTrustResultType result;
         SecTrustEvaluate(serverTrust, &result);
         return (result == kSecTrustResultUnspecified || result == kSecTrustResultProceed);
     }

4.1 カスタム NSURLProtocol の実装

iOS では、開発者は NSURLProtocol から継承することで、システムによって開始されたネットワークリクエストをインターセプトできます。その後、より低いレベルで HTTP/HTTPS リクエストロジックを実装できます。CFNetwork や NSInputStream/NSOutputStream などのインターフェイスを使用して、すべてのネットワーク操作を手動で処理できます。

1. リクエストをインターセプトする

   • canInitWithRequest: メソッドで、現在のリクエストをインターセプトするかどうかを決定します。

   • startLoading メソッドでは、元のリクエスト URL 内のドメイン名を IP アドレスに置き換えます。後続の証明書の検証と SNI 設定のために元のドメイン名を保持します。

2. SNI を設定する

   • CFStream 関連の API または SecureTransport インターフェイスを使用して、kCFStreamSSLPeerName を元のドメイン名として指定します。これにより、基盤となるレイヤーが SSL ハンドシェイク中に正しいドメイン名情報を含めることが保証されます。

3. 証明書の検証

   • 証明書内のドメイン名が元のドメイン名と一致することを確認するために、証明書の検証プロセスを手動で実行します。

リファレンス例として、Alibaba Cloud は httpdns_ios_demo で HttpDnsNSURLProtocolImpl.m のサンプル実装を提供しています。必要に応じて変更または再利用できます。

4.2 libcurl を使用してネットワーク リクエストを実装する

libcurl は C で実装されたクロスプラットフォームのネットワークライブラリです。SNI フィールドを手動で設定して、SSL ハンドシェイク中に正しいドメイン名情報を渡すことをサポートしています。これにより、複数のドメイン名が同じ IP アドレスを共有するシナリオで、証明書の検証が成功します。一般的なプロセスは次のとおりです。

1. ドメイン名を名前解決して、対応する IP アドレスを取得します。

   • たとえば、HTTPDNS が提供する API (例: resolveHostSyncNonBlocking:) を使用して、ターゲットドメイン名の IP アドレスを取得します。

2. SNI と IP マッピングを設定します。

   • CURLOPT_RESOLVE または別の API を使用して、「ドメイン:ポート:名前解決された IP」のマッピングを curl の内部 DNS キャッシュに書き込みます。

   • 引き続き元のドメイン名を CURLOPT_URL のアクセス先として使用します。これにより、TLS ハンドシェイク中に正しいドメイン名情報が含まれることが保証されます。

3. 証明書の検証

   • libcurl はデフォルトで証明書検証を有効にします。必要に応じて、対応するコールバックを使用して、証明書に対してより詳細なチェックを行うこともできます。

以下のコアコードスニペット (擬似コード) は、HTTPDNS の名前解決の結果を使用して、iOS で libcurl を介してリクエストを完了する方法を示しています。

CURL *curl_handle = curl_easy_init();
if (curl_handle) {
    // たとえば、HTTPDNS から IP = 1.2.3.4 を取得し、ターゲット ドメイン = example.com、ポート = 443 とします。
    struct curl_slist *dnsResolve = NULL;
    dnsResolve = curl_slist_append(dnsResolve, "example.com:443:1.2.3.4");
    // ドメインと IP のマッピングを設定します。
    curl_easy_setopt(curl_handle, CURLOPT_RESOLVE, dnsResolve);

    // URL として元のドメイン名を引き続き使用します。
    curl_easy_setopt(curl_handle, CURLOPT_URL, "https://example.com");

    // SSL 検証を有効にします。
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYPEER, 1L);
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYHOST, 2L);

    // リクエストを開始します。
    CURLcode res = curl_easy_perform(curl_handle);

    // 結果を確認します。
    if (res != CURLE_OK) {
        fprintf(stderr, "curl_easy_perform() failed: %s\n", curl_easy_strerror(res));
    }

    // クリーンアップします。
    curl_easy_cleanup(curl_handle);
    curl_slist_free_all(dnsResolve);
}

4.3 EMASCurl を使用する

iOS で直接 libcurl を使用するための参入障壁を下げるために、Alibaba Cloud EMAS チームは EMASCurl ライブラリを提供しています。これは libcurl をラップし、HTTPDNS との直接統合をサポートします。

1. インストールとインターセプト

   • 使用するには主に 2 つの方法があります: 1) 指定された NSURLSessionConfiguration から作成された NSURLSession をインターセプトする。 2) システムのグローバルな [NSURLSession sharedSession] をインターセプトする。

   • API 情報については、GitHub の README ファイルをご参照ください。

2. HTTPDNS との統合

   • EMASCurlProtocolDNSResolver プロトコルを実装して、HTTPDNS 解決結果を EMASCurl に渡します。

   • resolveDomain: メソッドで、[HttpDnsService resolveHostSyncNonBlocking:] を呼び出して IP アドレスを取得します。次に、それを EMASCurl に返して、後続の SNI 設定とリクエスト送信を完了します。

3. 証明書の検証

   • EMASCurl は libcurl の証明書検証メカニズムに依存しています。また、対応するインターフェイスを介して証明書検証を拡張またはカスタマイズして、サービスのニーズを満たすこともできます。