iOS端Native场景使用HTTPDNS

3.1 普通 HTTP 场景标题

对于 普通 HTTP 请求，网络链路中不存在 TLS/SSL 握手，也无需证书校验，因此集成 HTTPDNS 的核心操作仅在 HTTP 层进行：

1. 替换请求 URL 中的 Host 为 HTTPDNS 解析出的 IP

   • 例如原始请求 URL 为 http://example.com/api ，HTTPDNS 解析后得到 IP 1.2.3.4 ，则把 URL 修改为 http://1.2.3.4/api 。

2. 在 HTTP Header 中显式设置 Host 为原始域名

   • 若使用 NSMutableURLRequest ，可在请求头中添加 request.allHTTPHeaderFields[@"Host"] = @"example.com"; 确保服务器在应用层能够识别到正确的域名。

3.2 HTTPS + 非 SNI 场景标题

对于不使用 SNI 机制或仅包含少量固定域名的 HTTPS 站点（证书中只涵盖这些域名），可以在 NSURLSession 层通过以下方式来完成 HTTPDNS 接入与证书校验：

1. 替换请求 URL 中的 Host 为 HTTPDNS 解析出的 IP

   • 例如原始请求 URL 为 https://example.com/api ，HTTPDNS 解析后得到 IP 1.2.3.4 ，则把 URL 修改为 https://1.2.3.4/api 。

2. 在 HTTP Header 中显式设置 Host 为原始域名

   • 同理，可以在 NSMutableURLRequest 里设置 request.allHTTPHeaderFields[@"Host"] = @"example.com"; 。

3. Hook 证书校验过程

   • 由于这是 HTTPS 请求，需要在 TLS 握手阶段进行证书校验。此时，若直接拿 IP 作为 Host 检查，就会出现 域名与证书不匹配 的问题。

   • 可以在 NSURLSessionDelegate 的回调方法 URLSession:didReceiveChallenge:completionHandler: 中，将系统获取到的 serverTrust 进行验证时，改用原始域名（ example.com ）替换掉 IP，从而通过证书校验。

   • 代码示例：

     - (void)URLSession:(NSURLSession *)session
                   task:(NSURLSessionTask *)task
     didReceiveChallenge:(NSURLAuthenticationChallenge *)challenge
       completionHandler:(void (^)(NSURLSessionAuthChallengeDisposition disposition,
                                   NSURLCredential *credential))completionHandler {
         if ([challenge.protectionSpace.authenticationMethod isEqualToString:NSURLAuthenticationMethodServerTrust]) {
             NSString *originalHost = [self getOriginalHostFromRequest:task.originalRequest];
             SecTrustRef serverTrust = challenge.protectionSpace.serverTrust;
             if ([self evaluateServerTrust:serverTrust forDomain:originalHost]) {
                 // 证书校验通过
                 NSURLCredential *credential = [NSURLCredential credentialForTrust:serverTrust];
                 completionHandler(NSURLSessionAuthChallengeUseCredential, credential);
             } else {
                 // 证书校验失败，使用默认处理
                 completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
         } else {
             completionHandler(NSURLSessionAuthChallengePerformDefaultHandling, nil);
     - (BOOL)evaluateServerTrust:(SecTrustRef)serverTrust forDomain:(NSString *)domain {
         // 创建证书校验策略
         NSMutableArray *policies = [NSMutableArray array];
         if (domain) {
             [policies addObject:(__bridge_transfer id) SecPolicyCreateSSL(true, (__bridge CFStringRef) domain)];
         } else {
             [policies addObject:(__bridge_transfer id) SecPolicyCreateBasicX509()];
         // 绑定校验策略到服务端的证书上
         SecTrustSetPolicies(serverTrust, (__bridge CFArrayRef) policies);
         // 评估当前serverTrust是否可信任，官方建议在result = kSecTrustResultUnspecified 或 kSecTrustResultProceed的情况下serverTrust可以被验证通过，https://developer.apple.com/library/ios/technotes/tn2232/_index.html
         // 关于SecTrustResultType的详细信息请参考SecTrust.h
         SecTrustResultType result;
         SecTrustEvaluate(serverTrust, &result);
         return (result == kSecTrustResultUnspecified || result == kSecTrustResultProceed);
     }

4.1 自定义 NSURLProtocol 实现

iOS 允许开发者通过继承 NSURLProtocol 来拦截系统发起的网络请求，并在底层自行实现 HTTP/HTTPS 请求逻辑。可以基于 CFNetwork 或者 NSInputStream/NSOutputStream 等接口，手动完成所有网络操作：

1. 拦截请求

   • 在 canInitWithRequest: 方法中判断是否要拦截当前请求。

   • 在 startLoading 方法里，将原始请求 URL 中的域名替换为 IP，并保留原始域名用于后续的证书校验和 SNI 设置。

2. 设置 SNI

   • 通过 CFStream 相关 API 或者 SecureTransport 接口，指定 kCFStreamSSLPeerName 为原始域名，这样在 SSL 握手阶段，底层会带上正确的域名信息。

3. 证书校验

   • 手动执行证书验证流程，确保证书中包含的域名与原始域名匹配。

如果需要参考示例，阿里云提供了 httpdns_ios_demo 中 HttpDnsNSURLProtocolImpl.m 的示例实现，可根据业务需求进行修改或复用。

4.2 自行使用 libcurl 实现网络请求

libcurl 是 C 语言实现的跨平台网络库，支持手动设置 SNI 字段，从而在 SSL 握手阶段传递正确的域名信息，以完成多域名共享同一 IP 的证书校验场景。大致流程如下：

1. 解析域名，得到对应 IP

   • 例如使用 HTTPDNS 提供的 API resolveHostSyncNonBlocking: 等方法，获取到目标域名的 IP 地址。

2. 设置 SNI 和 IP 映射

   • 通过 CURLOPT_RESOLVE 或其他 API，把“域名:端口:解析到的 IP”映射写入到 curl 内部 DNS 缓存。

   • 依然使用原始域名作为 CURLOPT_URL 的访问目标，保证 TLS 握手时会带上正确的域名信息。

3. 证书校验

   • libcurl 默认开启证书校验，也可以根据需求使用相应的回调对证书进行更细粒度的检查。

下面是一个核心示例代码片段（伪代码），演示如何在 iOS 中通过 libcurl 使用 HTTPDNS 解析的结果并完成请求：

CURL *curl_handle = curl_easy_init();
if (curl_handle) {
    // 例如从HTTPDNS得到IP = 1.2.3.4，目标域名 = example.com，端口 = 443
    struct curl_slist *dnsResolve = NULL;
    dnsResolve = curl_slist_append(dnsResolve, "example.com:443:1.2.3.4");
    // 设置域名-IP映射
    curl_easy_setopt(curl_handle, CURLOPT_RESOLVE, dnsResolve);
    // 依然使用原始域名作为URL
    curl_easy_setopt(curl_handle, CURLOPT_URL, "https://example.com");
    // 开启SSL验证
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYPEER, 1L);
    curl_easy_setopt(curl_handle, CURLOPT_SSL_VERIFYHOST, 2L);
    // 发起请求
    CURLcode res = curl_easy_perform(curl_handle);
    // 检查结果
    if (res != CURLE_OK) {
        fprintf(stderr, "curl_easy_perform() failed: %s\n", curl_easy_strerror(res));
    // 清理
    curl_easy_cleanup(curl_handle);
    curl_slist_free_all(dnsResolve);
}

4.3 使用 EMASCurl

为降低在 iOS 上直接使用 libcurl 的接入门槛，阿里云 EMAS 团队提供了 EMASCurl 库，它对 libcurl 进行封装，并支持与 HTTPDNS 的直接对接。

1. 安装与拦截

   • 提供了两种主要使用方式： 1）拦截指定 NSURLSessionConfiguration 创建的 NSURLSession ； 2）拦截系统全局 [NSURLSession sharedSession] 。

   • API 接口请查询 github 上的 README 文件。

2. 与 HTTPDNS 配合

   • 实现 EMASCurlProtocolDNSResolver 协议即可将 HTTPDNS 解析结果交给 EMASCurl。

   • 在 resolveDomain: 方法中调用 [HttpDnsService resolveHostSyncNonBlocking:] 获取 IP 地址，然后返回给 EMASCurl 来完成后续的 SNI 设置和请求发送。

3. 证书校验

   • EMASCurl 依赖 libcurl 的证书校验机制，开发者也可通过相应接口扩展或自定义证书校验，以适配业务需求。