iOS端Native场景使用HTTPDNS

3.1 普通HTTP场景标题

对于普通HTTP请求，网络链路中不存在TLS/SSL握手，也无需证书校验，因此集成HTTPDNS的核心操作仅在HTTP层进行：

1. 替换请求URL中的Host为HTTPDNS解析出的IP

   • 例如原始请求URL为 http://example.com/api，HTTPDNS解析后得到IP 1.2.3.4，则把URL修改为 http://1.2.3.4/api。

2. 在HTTP Header中显式设置Host为原始域名

   • 若使用NSMutableURLRequest，可在请求头中添加 request.allHTTPHeaderFields[@"Host"] = @"example.com"; 确保服务器在应用层能够识别到正确的域名。

3.2 HTTPS + 非SNI场景标题

对于不使用SNI机制或仅包含少量固定域名的HTTPS站点（证书中只涵盖这些域名），可以在NSURLSession层通过以下方式来完成HTTPDNS接入与证书校验：

1. 替换请求URL中的Host为HTTPDNS解析出的IP

   • 例如原始请求URL为 https://example.com/api，HTTPDNS解析后得到IP 1.2.3.4，则把URL修改为 https://1.2.3.4/api。

2. 在HTTP Header中显式设置Host为原始域名

   • 同理，可以在NSMutableURLRequest里设置 request.allHTTPHeaderFields[@"Host"] = @"example.com";。

3. Hook证书校验过程

   • 由于这是HTTPS请求，需要在TLS握手阶段进行证书校验。此时，若直接拿IP作为Host检查，就会出现域名与证书不匹配的问题。

   • 可以在 NSURLSessionDelegate 的回调方法 URLSession:didReceiveChallenge:completionHandler: 中，将系统获取到的 serverTrust 进行验证时，改用原始域名（example.com）替换掉IP，从而通过证书校验。

   • 代码示例：

     - (void)URLSession:(NSURLSession *)session
                   task:(NSURLSessionTask *)task
     didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
       completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition,
                                   NSURLCredential *credential))completionHandler {
         if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
             NSString *originalHost = [self getOriginalHostFromRequest:task.originalRequest];
             SecTrustRef serverTrust = challenge.protectionSpace.serverTrust;
             if ([self evaluateServerTrust:serverTrust forDomain:originalHost]) {
                 // 证书校验通过
                 NSURLCredential *credential = [NSURLCredential credentialForTrust:serverTrust];
                 completionHandler(NSURLSessionAuthChallengeUseCredential, credential);
             } else {
                 // 证书校验失败，使用默认处理
                 completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
             }
         } else {
             completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
         }
     }
     

4.1 自定义NSURLProtocol实现

iOS允许开发者通过继承NSURLProtocol来拦截系统发起的网络请求，并在底层自行实现HTTP/HTTPS请求逻辑。可以基于CFNetwork或者NSInputStream/NSOutputStream等接口，手动完成所有网络操作：

1. 拦截请求

   • 在canInitWithRequest:方法中判断是否要拦截当前请求。

   • 在startLoading方法里，将原始请求URL中的域名替换为IP，并保留原始域名用于后续的证书校验和SNI设置。

2. 设置SNI

   • 通过CFStream相关API或者SecureTransport接口，指定kCFStreamSSLPeerName为原始域名，这样在SSL握手阶段，底层会带上正确的域名信息。

3. 证书校验

   • 手动执行证书验证流程，确保证书中包含的域名与原始域名匹配。

如果需要参考示例，阿里云提供了httpdns_ios_demo中HttpDnsNSURLProtocolImpl.m的示例实现，可根据业务需求进行修改或复用。

4.2 自行使用libcurl实现网络请求

libcurl是C语言实现的跨平台网络库，支持手动设置SNI字段，从而在SSL握手阶段传递正确的域名信息，以完成多域名共享同一IP的证书校验场景。大致流程如下：

1. 解析域名，得到对应IP

   • 例如使用HTTPDNS提供的API resolveHostSyncNonBlocking:等方法，获取到目标域名的IP地址。

2. 设置SNI和IP映射

   • 通过CURLOPT_RESOLVE或其他API，把“域名:端口:解析到的IP”映射写入到curl内部DNS缓存。

   • 依然使用原始域名作为CURLOPT_URL的访问目标，保证TLS握手时会带上正确的域名信息。

3. 证书校验

   • libcurl默认开启证书校验，也可以根据需求使用相应的回调对证书进行更细粒度的检查。

下面是一个核心示例代码片段（伪代码），演示如何在iOS中通过libcurl使用HTTPDNS解析的结果并完成请求：

CURL *curl_handle = curl_easy_init();
if (curl_handle) {
    // 例如从HTTPDNS得到IP = 1.2.3.4，目标域名 = example.com，端口 = 443
    struct curl_slist *dnsResolve = NULL;
    dnsResolve = curl_slist_append(dnsResolve, "example.com:443:1.2.3.4");
    // 设置域名-IP映射
    curl_easy_setopt(curl_handle, CURLOPT_RESOLVE, dnsResolve);

    // 依然使用原始域名作为URL
    curl_easy_setopt(curl_handle, CURLOPT_URL, "https://example.com");

    // 开启SSL验证
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYPEER, 1L);
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYHOST, 2L);

    // 发起请求
    CURLcode res = curl_easy_perform(curl_handle);

    // 检查结果
    if (res != CURLE_OK) {
        fprintf(stderr, "curl_easy_perform() failed: %s\n", curl_easy_strerror(res));
    }

    // 清理
    curl_easy_cleanup(curl_handle);
    curl_slist_free_all(dnsResolve);
}

4.3 使用EMASCurl

为降低在iOS上直接使用libcurl的接入门槛，阿里云EMAS团队提供了EMASCurl库，它对libcurl进行封装，并支持与HTTPDNS的直接对接。

1. 安装与拦截

   • 提供了两种主要使用方式： 1）拦截指定NSURLSessionConfiguration创建的NSURLSession； 2）拦截系统全局[NSURLSession sharedSession]。

   • API接口示例：

2. 与HTTPDNS配合

   • 实现EMASCurlProtocolDNSResolver协议即可将HTTPDNS解析结果交给EMASCurl。

   • 在resolveDomain:方法中调用[HttpDnsService resolveHostSyncNonBlocking:]获取IP地址，然后返回给EMASCurl来完成后续的SNI设置和请求发送。

3. 证书校验

   • EMASCurl依赖libcurl的证书校验机制，开发者也可通过相应接口扩展或自定义证书校验，以适配业务需求。