使用 SSL/TLS 加密 Netty 程序

為了支持 SSL/TLS,Java 提供了 javax.net.ssl API 的類(lèi)SslContext 和 SslEngine 使它相對(duì)簡(jiǎn)單的實(shí)現(xiàn)解密和加密。Netty 的利用該 API 命名 SslHandler 的 ChannelHandler 實(shí)現(xiàn), 有一個(gè)內(nèi)部 SslEngine 做實(shí)際的工作。

圖8.1顯示了一個(gè)使用 SslHandler 數(shù)據(jù)流圖。

1. 加密的入站數(shù)據(jù)被 SslHandler 攔截，并被解密
2. 前面加密的數(shù)據(jù)被 SslHandler 解密
3. 平常數(shù)據(jù)傳過(guò) SslHandler
4. SslHandler 加密數(shù)據(jù)并它傳遞出站

Figure 8.1 Data flow through SslHandler for decryption and encryption

如清單8.1所示一個(gè) SslHandler 使用 ChannelInitializer 添加到 ChannelPipeline。(回想一下,當(dāng) Channel 注冊(cè)時(shí) ChannelInitializer 用于設(shè)置 ChannelPipeline 。)

Listing 8.1 Add SSL/TLS support

public class SslChannelInitializer extends ChannelInitializer<Channel> {

    private final SslContext context;
    private final boolean startTls;
    public SslChannelInitializer(SslContext context,
    boolean client, boolean startTls) {   //1
        this.context = context;
        this.startTls = startTls;
    }
    @Override
    protected void initChannel(Channel ch) throws Exception {
        SSLEngine engine = context.newEngine(ch.alloc());  //2
        engine.setUseClientMode(client); //3
        ch.pipeline().addFirst("ssl", new SslHandler(engine, startTls));  //4
    }
}

1. 使用構(gòu)造函數(shù)來(lái)傳遞 SSLContext 用于使用(startTls 是否啟用)
2. 從 SslContext 獲得一個(gè)新的 SslEngine 。給每個(gè) SslHandler 實(shí)例使用一個(gè)新的 SslEngine
3. 設(shè)置 SslEngine 是 client 或者是 server 模式
4. 添加 SslHandler 到 pipeline 作為第一個(gè)處理器

在大多數(shù)情況下,SslHandler 將成為 ChannelPipeline 中的第一個(gè) ChannelHandler 。這將確保所有其他 ChannelHandler 應(yīng)用他們的邏輯到數(shù)據(jù)后加密后才發(fā)生,從而確保他們的變化是安全的。

SslHandler 有很多有用的方法,如表8.1所示。例如,在握手階段兩端相互驗(yàn)證,商定一個(gè)加密方法。您可以配置 SslHandler 修改其行為或提供 在SSL/TLS 握手完成后發(fā)送通知,這樣所有數(shù)據(jù)都將被加密。 SSL/TLS 握手將自動(dòng)執(zhí)行。

Table 8.1 SslHandler methods