iOS 防止 Charles 抓取数据

现在 APP 开发，数据的保密性越来越受重视，保密性高才不会让数据轻易被泄露，同时保护到用户和公司的利益。如何做到保密更加完善呢？怎么防止 Charles 获取数据呢？

1、通过 HTTP/1.1 及以上版本的 CONNECT 请求方式。CONNECT 请求方式是什么呢？开发中我们多数用的是 POST 和 GET 来向服务端请求数据。

CONNECT 是在 HTTP/1.1 协议中，HTTP/1.0 定义了三种请求方法： GET, POST 和 HEAD方法，HTTP/1.1 新增了五种请求方法：OPTIONS、 PUT、DELETE、 TRACE 和 CONNECT 方法。它主要是把服务器作为跳板，先验证用户名和密码等信息，再让服务器代替用户去访问其它网页，之后把数据返回给用户。对HTTP/1.1 的 CONNECT 有兴趣，可以查阅 HTTP代理协议 HTTP/1.1 的 CONNECT 方法。

简书的PC端部分是如此实现。打开简书网页，Charles抓取到的 <unknown> 中，可以见到它的 Method 为 CONNECT 请求方式。

CONNECT 请求方式

2、使用自签名证书的应用和双向验证的应用。在抓取一些第三方应用的包时候，为什么很多时候都抓取不到数据呢？

其一，客户端通过指定的方式只信任某一个证书；其二，一般做法只有客户端验证服务端公钥证书是不是合法，但是某些 app，比如支付宝，采用双向验证的方式，在通信过程中，服务器会验证 app 的公钥证书，这时候，就没办法使用 Charles（中间人攻击的方式）进行抓包。

   

3、对返回数据进行加密(RAS保密 + token验证  &  效率更高的AES) 。

4、判断客户端当前是否设置了代理。这也是本人通过 NSURLProtocol 拦截请求后，判断是否设置了代理，实现了防止 Charles 抓取 APP 的数据。

具体当进行网络请求的时候，如果设置了代理，不允许进行访问，对支付宝 APP 抓包时候，设置了代理后打开，很多界面都是无法访问了，某部分界面不知是否通过这方式实现？有了解的，感谢分享下。😄

判断客户端是否设置了代理，具体代码可以参考：iOS开发 如何判断网络请求是否开启了代理。

🌴For The Good App.

参考：

• iOS Charles 抓包 https 实战并篡改返回数据

• Android 系统各个版本上https的抓包

相关推荐：

• iOS 获取 AppStore 上 APP 版本号比较提示更新

• iOS:一用就上瘾的BottomSheetView

• iOS性能优化系列篇之“列表流畅度优化”

作者：Maxdon
链接：https://www.jianshu.com/p/1ab83d726d3f