HTTPDNS：iOS端Native情境使用HTTPDNS

3.1 普通HTTP情境標題

對於普通HTTP請求，網路鏈路中不存在TLS/SSL握手，也無需認證校正，因此整合HTTPDNS的核心操作僅在HTTP層進行：

1. 替換請求URL中的Host為HTTPDNS解析出的IP

   • 例如原始請求URL為 http://example.com/api，HTTPDNS解析後得到IP 1.2.3.4，則把URL修改為 http://1.2.3.4/api。

2. 在HTTP Header中顯式設定Host為原始網域名稱

   • 若使用NSMutableURLRequest，可在要求標頭中添加 request.allHTTPHeaderFields[@"Host"] = @"example.com"; 確保伺服器在應用程式層能夠識別到正確的網域名稱。

3.2 HTTPS + 非SNI情境標題

對於不使用SNI機制或僅包含少量固定網域名稱的HTTPS網站（認證中只涵蓋這些網域名稱），可以在NSURLSession層通過以下方式來完成HTTPDNS接入與認證校正：

1. 替換請求URL中的Host為HTTPDNS解析出的IP

   • 例如原始請求URL為 https://example.com/api，HTTPDNS解析後得到IP 1.2.3.4，則把URL修改為 https://1.2.3.4/api。

2. 在HTTP Header中顯式設定Host為原始網域名稱

   • 同理，可以在NSMutableURLRequest裡設定 request.allHTTPHeaderFields[@"Host"] = @"example.com";。

3. Hook認證校正過程

   • 由於這是HTTPS請求，需要在TLS握手階段進行認證校正。此時，若直接拿IP作為Host檢查，就會出現網域名稱與認證不匹配的問題。

   • 可以在 NSURLSessionDelegate 的回調方法 URLSession:didReceiveChallenge:completionHandler: 中，將系統擷取到的 serverTrust 進行驗證時，改用原始網域名稱（example.com）替換掉IP，從而通過認證校正。

   • 程式碼範例：

     - (void)URLSession:(NSURLSession *)session
                   task:(NSURLSessionTask *)task
     didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
       completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition,
                                   NSURLCredential *credential))completionHandler {
         if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
             NSString *originalHost = [self getOriginalHostFromRequest:task.originalRequest];
             SecTrustRef serverTrust = challenge.protectionSpace.serverTrust;
             if ([self evaluateServerTrust:serverTrust forDomain:originalHost]) {
                 // 認證校正通過
                 NSURLCredential *credential = [NSURLCredential credentialForTrust:serverTrust];
                 completionHandler(NSURLSessionAuthChallengeUseCredential, credential);
             } else {
                 // 認證校正失敗，使用預設處理
                 completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
             }
         } else {
             completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
         }
     }
     
     - (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust forDomain:(NSString *)domain {
         // 建立認證校正策略
         NSMutableArray *policies = [NSMutableArray array];
         if (domain) {
             [policies addObject:(__bridge_transfer id) SecPolicyCreateSSL(true, (__bridge CFStringRef) domain)];
         } else {
             [policies addObject:(__bridge_transfer id) SecPolicyCreateBasicX509()];
         }
     
         // 綁定校正策略到服務端的認證上
         SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef) policies);
         // 評估當前serverTrust是否可信任，官方建議在result = kSecTrustResultUnspecified 或 kSecTrustResultProceed的情況下serverTrust可以被驗證通過，https://developer.apple.com/library/ios/technotes/tn2232/_index.html
         // 關於SecTrustResultType的詳細資料請參考SecTrust.h
         SecTrustResultType result;
         SecTrustEvaluate(serverTrust, &result);
         return (result == kSecTrustResultUnspecified || result == kSecTrustResultProceed);
     }

4.1 自訂NSURLProtocol實現

iOS允許開發人員通過繼承NSURLProtocol來攔截系統發起的網路請求，並在底層自行實現HTTP/HTTPS請求邏輯。可以基於CFNetwork或者NSInputStream/NSOutputStream等介面，手動完成所有網路操作：

1. 攔截請求

   • 在canInitWithRequest:方法中判斷是否要攔截當前請求。

   • 在startLoading方法裡，將原始請求URL中的網域名稱替換為IP，並保留原始網域名稱用於後續的認證校正和SNI設定。

2. 設定SNI

   • 通過CFStream相關API或者SecureTransport介面，指定kCFStreamSSLPeerName為原始網域名稱，這樣在SSL握手階段，底層會帶上正確的網域名稱資訊。

3. 認證校正

   • 手動執行認證驗證流程，確保認證中包含的網域名稱與原始網域名稱匹配。

如果需要參考樣本，阿里雲提供了httpdns_ios_demo中HttpDnsNSURLProtocolImpl.m的樣本實現，可根據業務需求進行修改或複用。

4.2 自行使用libcurl實現網路請求

libcurl是C語言實現的跨平台網路程式庫，支援手動設定SNI欄位，從而在SSL握手階段傳遞正確的網域名稱資訊，以完成多網域名稱共用同一IP的認證校正情境。大致流程如下：

1. 解析網域名稱，得到對應IP

   • 例如使用HTTPDNS提供的API resolveHostSyncNonBlocking:等方法，擷取到目標網域名稱的IP地址。

2. 設定SNI和IP映射

   • 通過CURLOPT_RESOLVE或其他API，把“網域名稱:連接埠:解析到的IP”映射寫入到curl內部DNS緩衝。

   • 依然使用原始網域名稱作為CURLOPT_URL的訪問目標，保證TLS握手時會帶上正確的網域名稱資訊。

3. 認證校正

   • libcurl預設開啟認證校正，也可以根據需求使用相應的回調對認證進行更細粒度的檢查。

下面是一個核心範例程式碼片段（虛擬碼），示範如何在iOS中通過libcurl使用HTTPDNS解析的結果並完成請求：

CURL *curl_handle = curl_easy_init();
if (curl_handle) {
    // 例如從HTTPDNS得到IP = 1.2.3.4，目標網域名稱 = example.com，連接埠 = 443
    struct curl_slist *dnsResolve = NULL;
    dnsResolve = curl_slist_append(dnsResolve, "example.com:443:1.2.3.4");
    // 設定網域名稱-IP映射
    curl_easy_setopt(curl_handle, CURLOPT_RESOLVE, dnsResolve);

    // 依然使用原始網域名稱作為URL
    curl_easy_setopt(curl_handle, CURLOPT_URL, "https://example.com");

    // 開啟SSL驗證
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYPEER, 1L);
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYHOST, 2L);

    // 發起請求
    CURLcode res = curl_easy_perform(curl_handle);

    // 檢查結果
    if (res != CURLE_OK) {
        fprintf(stderr, "curl_easy_perform() failed: %s\n", curl_easy_strerror(res));
    }

    // 清理
    curl_easy_cleanup(curl_handle);
    curl_slist_free_all(dnsResolve);
}

4.3 使用EMASCurl

為降低在iOS上直接使用libcurl的接入門檻，阿里雲EMAS團隊提供了EMASCurl庫，它對libcurl進行封裝，並支援與HTTPDNS的直接對接。

1. 安裝與攔截

   • 提供了兩種主要使用方式： 1）攔截指定NSURLSessionConfiguration建立的NSURLSession； 2）攔截系統全域[NSURLSession sharedSession]。

   • API介面請查詢github上的README檔案。

2. 與HTTPDNS配合

   • 實現EMASCurlProtocolDNSResolver協議即可將HTTPDNS解析結果交給EMASCurl。

   • 在resolveDomain:方法中調用[HttpDnsService resolveHostSyncNonBlocking:]擷取IP地址，然後返回給EMASCurl來完成後續的SNI設定和請求發送。

3. 認證校正

   • EMASCurl依賴libcurl的認證校正機制，開發人員也可通過相應介面擴充或自訂認證校正，以適配業務需求。

4. HTTP/3支援

   • EMASCurl 提供了基於支援 QUIC 的 libcurl 封裝版本 EMASCurl/HTTP3，開發人員可按需接入以使用 HTTP/3 能力，無需額外適配。