Транспортная безопасность заблокировала открытый текст HTTP

Question

Транспортная безопасность заблокировала открытый текст HTTP

Какие настройки мне нужно установить в info.plist включить режим HTTP согласно следующему сообщению об ошибке?

Безопасность транспорта заблокировала загрузку ресурса HTTP (http://) в виде открытого текста, поскольку она небезопасна. Временные исключения могут быть настроены через файл Info.plist вашего приложения.

Предположим, что мой домен example.com,

1600

ios xcode ios9 ios10 app-transport-security

Источник

user2069812 06 июл '15 в 20:10

29 ответов

Решение

Использование:

Вы должны установить ключ NSAllowsArbitraryLoads в значение YES в словаре NSAppTransportSecurity в вашем файле.plist.

1016

Источник

user2166050 04 авг '15 в 10:42

Вот настройки визуально:

859

Источник

user4396618 14 ноя '15 в 19:08

Смотрите сообщение на форуме.,

Также на странице Настройка исключений безопасности транспорта приложений в iOS 9 и OSX 10.11.

Например, вы можете добавить определенный домен, например:

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>example.com</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow HTTP requests-->
      <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
      <true/>
      <!--Include to specify minimum TLS version-->
      <key>NSTemporaryExceptionMinimumTLSVersion</key>
      <string>TLSv1.1</string>
    </dict>
  </dict>
</dict>

Ленивый вариант:

<key>NSAppTransportSecurity</key>
<dict>
  <!--Include to allow all connections (DANGER)-->
  <key>NSAllowsArbitraryLoads</key>
      <true/>
</dict>

Замечания:

info.plist это файл XML, так что вы можете разместить этот код более или менее в любом месте файла.

770

Источник

user1508861 06 июл '15 в 20:19

Это было проверено и работало на iOS 9 GM seed - это конфигурация, позволяющая определенному домену использовать HTTP вместо HTTPS:

<key>NSAppTransportSecurity</key>
<dict>
      <key>NSAllowsArbitraryLoads</key> 
      <false/>
       <key>NSExceptionDomains</key>
       <dict>
            <key>example.com</key> <!--Include your domain at this line -->
            <dict>
                <key>NSIncludesSubdomains</key>
                <true/>
                <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
                <true/>
                <key>NSTemporaryExceptionMinimumTLSVersion</key>
                <string>TLSv1.1</string>
            </dict>
       </dict>
</dict>

NSAllowsArbitraryLoads должно быть false, потому что он запрещает все небезопасные подключения, но список исключений позволяет подключение к некоторым доменам без HTTPS.

358

Источник

user602249 14 сен '15 в 08:36

Это быстрый обходной путь (но не рекомендуется), чтобы добавить это в plist:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Что означает (согласно документации Apple):

NSAllowsArbitraryLoads
Логическое значение, используемое для отключения App Transport Security для любых доменов, не перечисленных в словаре NSExceptionDomains. Перечисленные домены используют настройки, указанные для этого домена.
Значение по умолчанию NO требует поведения App Transport Security по умолчанию для всех соединений.

Я действительно рекомендую ссылки:

Техническая записка Apple
WWDC 2015 сессия 706 (Безопасность и ваши приложения) начинается около 1:50
Сессия WWDC 2015 711 (Сетевое взаимодействие с NSURLSession)
Сообщение в блоге Доставка приложения с помощью приложения Transport Security

которые помогают мне понять причины и все последствия.

XML (в файле Info.plist) ниже будет:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <false/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>PAGE_FOR_WHICH_SETTINGS_YOU_WANT_TO_OVERRIDE</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
        </dict>
    </dict>
</dict>

запретить произвольные вызовы для всех страниц, но для PAGE_FOR_WHICH_SETTINGS_YOU_WANT_TO_OVERRIDE позволит этим соединениям использовать протокол HTTP.

К приведенному выше XML вы можете добавить:

<key>NSIncludesSubdomains</key>
<true/>

если вы хотите разрешить небезопасные соединения для поддоменов указанного адреса.

Наилучший подход состоит в том, чтобы заблокировать все произвольные загрузки (установить в false) и добавить исключения, чтобы разрешить только те адреса, которые нам известны.

Для заинтересованных читателей

2018 Обновление:

Apple не рекомендует отключать это - больше информации можно найти в 207 сессии WWDC 2018 с большим количеством вещей, объясненных относительно безопасности

Оставив первоначальный ответ по историческим причинам и фазе разработки

151

Источник

user3151066 01 сен '15 в 12:10

Для тех из вас, кто хочет узнать больше о том, почему это происходит, помимо того, как это исправить, читайте ниже.

С появлением iOS 9 для повышения безопасности соединений между приложением и веб-службами безопасные соединения между приложением и его веб-службой должны соответствовать передовым методам. Поведение передового опыта обеспечивается App Transport Security для:

предотвратить случайное раскрытие и
обеспечить поведение по умолчанию, которое является безопасным.

Как объяснено в Technote App Transport Security, при обмене данными с веб-службой App Transport Security теперь предъявляет следующие требования и поведение:

Сервер должен поддерживать по крайней мере версию 1.2 протокола TLS.
Соединительные шифры ограничены теми, которые обеспечивают прямую секретность (см. Список шифров ниже.)
Сертификаты должны быть подписаны с использованием алгоритма хеширования подписи SHA256 или более лучшего, либо с ключом RSA 2048 бит или более, либо с ключом Elliptic-Curve (ECC) 256 бит или более.
Недействительные сертификаты приводят к серьезному отказу и отсутствию соединения.

Другими словами, ваш запрос веб-службы должен: a.) Использовать HTTPS и b.) Быть зашифрован с использованием TLS v1.2 с прямой секретностью.

Однако, как упоминалось в других публикациях, вы можете переопределить это новое поведение в App Transport Security, указав незащищенный домен в Info.plist вашего приложения.

Чтобы переопределить, вам нужно будет добавить NSAppTransportSecurity > NSExceptionDomains свойства словаря к вашему Info.plist, Затем вы добавите домен вашего веб-сервиса в NSExceptionDomains толковый словарь.

Например, если я хочу обойти поведение App Transport Security для веб-службы на узле www.yourwebservicehost.com, я бы сделал следующее:

Откройте свое приложение в Xcode.
Найти Info.plist файл в Project Navigator и щелкните правой кнопкой мыши на нем и выберите пункт меню " Открыть как > Исходный код". Файл списка свойств появится на правой панели.
Поместите следующий блок свойств в основной словарь свойств (под первым <dict>).

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Если вам нужно предоставить исключения для дополнительных доменов, вы должны добавить еще одно свойство словаря ниже NSExceptionDomains,

Чтобы узнать больше о ключах, упомянутых выше, прочитайте этот уже упомянутый technote.

121

Источник

user2333544 21 сен '15 в 17:56

Я не люблю редактировать список напрямую. Вы можете легко добавить его в список с помощью графического интерфейса:

Нажмите на Info.plist в навигаторе слева.
Теперь измените данные в основной области:
- В последней строке добавьте +
- Введите имя группы: App Transport Security Settings
- Щелкните правой кнопкой мыши группу и выберите Add Row
- Введите Разрешить Произвольные Нагрузки
- Установите значение справа ДА

70

Источник

user1276622 06 ноя '15 в 08:06

Для этого есть два решения:

Решения 1:

В Info.plist файл добавить словарь с ключомNSAppTransportSecurity'
Добавить еще один элемент в словарь с ключом 'Allow Arbitrary Loads'

Plist структура должна выглядеть так, как показано на рисунке ниже.

Решение 2:

В Info.plist файл добавить словарь с ключомNSAppTransportSecurity'
Добавить еще один элемент в словарь с ключомNSExceptionDomains'
Добавить элемент с ключом 'MyDomainName.com' типа NSDictionary
Добавить элемент с ключомNSIncludesSubdomainsтипа Boolean и значение установлено как YES
Добавить элемент с ключомNSTemporaryExceptionAllowsInsecureHTTPLoadsтипа Boolean и значение установлено как YES

Plist структура должна выглядеть так, как показано на рисунке ниже.

Решение 2 является предпочтительным, поскольку оно разрешает только выбранный домен, тогда как решение 1 разрешает все незащищенные HTTP-соединения.

29

Источник

user1753005 10 мар '16 в 11:29

⚠️ Установить `Allow Arbitrary Loads` к `NO`!!!

Вы всегда должны использовать HTTPSдля ваших сетевых вещей. Но если вы действительно не можете, просто добавьте исключение вinfo.plist

Например, если вы используете http://google.comи получив эту ошибку, вы ДОЛЖНЫ изменить ее наhttps://google.com(с s), поскольку он поддерживает отлично.

Но если у вас что-то не получается (и вы не можете убедить backend-разработчиков поддерживать SSL), добавьте ТОЛЬКО этот незащищенный домен вinfo.plist(вместо того, чтобы сделать его доступным для ВСЕЙ НЕЗАЩИТНОЙ СЕТИ!)

23

Источник

user5623035 05 авг '20 в 14:10

Транспортная безопасность доступна на iOS 9.0 или более поздней версии. Вы можете получить это предупреждение при попытке вызвать WS внутри вашего приложения:

Application Transport Security заблокировал загрузку ресурса HTTP (http://) в виде открытого текста, поскольку он небезопасен. Временные исключения могут быть настроены через файл Info.plist вашего приложения.

Добавление следующего в ваш Info.plist отключит ATS:

<key>NSAppTransportSecurity</key>
<dict>
     <key>NSAllowsArbitraryLoads</key><true/>
</dict>

22

Источник

user1758944 18 сен '15 в 17:36

Пример разработки

Вот скриншот plist, который сохраняет ATS нетронутым (= безопасным), но позволяет устанавливать соединения с localhost через HTTP вместо HTTPS. Работает в Xcode 7.1.1.

16

Источник

user746804 30 ноя '15 в 08:49

По словам Apple, обычно отключение ATS приведет к отклонению приложения, если только у вас нет для этого веской причины. Даже тогда вы должны добавить исключения для доменов, к которым вы можете получить безопасный доступ.

У Apple есть отличный инструмент, который говорит вам, какие именно настройки использовать: в Терминале введите

/usr/bin/nscurl --ats-diagnostics --verbose https://www.example.com/whatever

и nscurl проверит, не выполнен ли этот запрос, а затем попробует различные настройки и скажет вам, какой из них пропущен и что делать. Например, для некоторого стороннего URL, который я посещаю, эта команда сказала мне, что этот словарь проходит:

{
    NSExceptionDomains = {
        "www.example.com" = {
            NSExceptionRequiresForwardSecrecy = false;
        };
    };
}

Чтобы различать ваши собственные сайты и сторонние сайты, которые находятся вне вашего контроля, используйте, например, ключ NSThirdPartyExceptionRequiresForwardSecrecy.

16

Источник

user3255455 17 апр '16 в 23:54

Перейти к вашему Info.plist

Щелкните правой кнопкой мыши на пустом месте и нажмите Добавить строку
Напишите имя ключа как NSAppTransportSecurity, под ним
Выберите Exception Domains, добавьте новый элемент к этому
Запишите ваше доменное имя, которое необходимо получить доступ
Измените тип домена со строки на словарь, добавьте новый элемент
NSTeditionalExceptionAllowsInsecureHTTPLoads, это будет логическое значение с истинным значением.

14

Источник

user5047036 09 янв '17 в 06:28

Выяснение того, какие настройки использовать, может быть выполнено автоматически, как упомянуто в этом техническом замечании:

/usr/bin/nscurl --ats-diagnostics --verbose https://your-domain.com

12

Источник

user613288 07 окт '15 в 08:29

ПРИМЕЧАНИЕ. Домен исключений в вашем списке должен быть в нижнем регистре.

Пример: вы назвали свой компьютер "MyAwesomeMacbook" в "Настройки-> Общий доступ"; ваш сервер (в тестовых целях) работает на MyAwesomeMacbook.local:3000, и вашему приложению необходимо отправить запрос на http://myawesomemacbook.local:3000/files..., в вашем списке указывается myawesomemacbook. локальный "как домен исключения.

-

Ваш info.plist будет содержать...

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>myawesomemacbook.local</key>
    <dict>
      <!--Include to allow subdomains-->
      <key>NSIncludesSubdomains</key>
      <true/>
      <!--Include to allow HTTP requests-->
      <key>NSExceptionAllowsInsecureHTTPLoads</key>
      <true/>
    </dict>
  </dict>
</dict>

11

Источник

user802196 12 сен '16 в 18:17

2015-09-25 (после обновлений Xcode 2015-09-18):

Я использовал не ленивый метод, но он не работал. Следующие мои попытки.

Первый,

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.xxx.yyy.zzz</key>
        <dict>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSTemporaryExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

И второе,

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>www.xxx.yyy.zzz</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSExceptionMinimumTLSVersion</key>
            <string>TLSv1.1</string>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Наконец, я использовал ленивый метод:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

Это может быть немного небезопасно, но я не мог найти другие решения.

10

Источник

user5168051 25 сен '15 в 02:41

Использование:

Добавьте новый элемент, NSAppTransportSecurity, в plist -файл с типом Dictionary, затем добавьте подпункт NSAllowsArbitraryLoads в словарь типа Boolean и установите значение bool YES. Это работает для меня.

9

Источник

user3467325 21 сен '15 в 09:11

В swift 4 и xocde 10 измените NSAllowsArbitraryLoads на Allow Произвольные загрузки. так это будет выглядеть так:

<key>App Transport Security Settings</key>
<dict>
     <key>Allow Arbitrary Loads</key><true/>
</dict>

9

Источник

user7064972 16 янв '19 в 10:56

Обновление для Xcode 7.1, сталкивающееся с проблемой 27.10.15:

Новое значение в Info.plist - "Параметры безопасности транспорта приложения". Оттуда этот словарь должен содержать:

Разрешить произвольные нагрузки = ДА
Домены исключений (укажите здесь свой http-домен)

6

Источник

user4756118 27 окт '15 в 19:21

Как это исправить?

Ниже приведены шаги, чтобы исправить это.

6

Источник

user8210517 24 янв '20 в 09:35

Возможно, стоит упомянуть, как туда добраться...

Info.plist - это один из файлов под Main.storyboard или viewController.swift.

Когда вы щелкаете по нему первый раз, он обычно находится в табличном формате, поэтому щелкните правой кнопкой мыши файл и выберите "открыть как" исходный код, а затем добавьте приведенный ниже код в конец, то есть:

 <key>NSAppTransportSecurity</key><dict><key>NSAllowsArbitraryLoads</key><true/></dict>

Скопируйте и вставьте код чуть выше

 "</dict>
</plist>"

который в конце.

6

Источник

user5438240 25 окт '15 в 17:18

Для тех, кто пришел сюда, пытаясь найти причину, по которой их WKWebView всегда белый и ничего не загружает (в точности как описано здесь, как мне заставить WKWebView работать в swift и для приложения MacOS):

Если все вышеперечисленное в области ракетостроения не работает, проверьте очевидное: настройки песочницы

Будучи новичком в Swift и Cocoa, но довольно опытным в программировании, я потратил около 20 часов, чтобы найти это решение. Ни один из десятков обучающих руководств по хипстерам для iOS, ни яблочных лейтмотивов - ничто не упоминает этот маленький флажок.

5

Источник

user4661912 09 окт '17 в 10:44

В Swift 5у нас есть два способа преодолеть эту проблему. нам нужно добавить в

Я даю исходный код и изображение для справки

Первый - Добавить -> NSAllowsArbitraryLoadsв .

      <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>NSAppTransportSecurity</key>
    <dict>
        <key>NSAllowsArbitraryLoads</key>
        <false/>
    </dict>
</dict>
</plist>

Еще один метод - добавить NSAppTransportSecurity-> NSExceptionDomainsв info.plistи добавьте домен URL-адреса и включите разрешения для загрузки там поддоменов ( NSIncludesSubdomains) и Разрешить небезопасные HTTP-загрузки ( NSExceptionAllowsInsecureHTTPLoads)

      <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>NSAppTransportSecurity</key>
    <dict>
      <key>NSExceptionDomains</key>
      <dict>
        <key>www.7timer.info</key>
        <dict>
          <key>NSIncludesSubdomains</key>
          <true/>
          <key>NSExceptionAllowsInsecureHTTPLoads</key>
          <true/>
        </dict>
      </dict>
    </dict>
  </dict>
</plist>

3

Источник

user9110213 31 дек '21 в 11:03

** Ну наконец то!!! Решенная безопасность транспорта приложений **

        1. Follow the follow the screen shot. Do it in Targets info Section.

3

Источник

11 янв '21 в 15:32

По умолчанию iOS разрешает только HTTPS API. Поскольку HTTP не является безопасным, вам придется отключить безопасность транспорта приложений. Есть два способа отключить ATS:-

1. Добавьте исходный код в проект info.plist и добавьте следующий код в корневой тег.

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

2. Использование информации о проекте.

Щелкните проект в проекте на левой панели, выберите проект в качестве целевого и выберите вкладку информации. Вам необходимо добавить словарь в следующую структуру.

3

Источник

user6593648 24 май '19 в 15:02

С помощью NSExceptionDomains может не применять эффект одновременно, поскольку целевой сайт может загружать ресурсы (например, js файлы) из внешних доменов более http, Это может быть решено путем добавления этих внешних доменов в NSExceptionDomains также.

Чтобы проверить, какие ресурсы не могут быть загружены, попробуйте использовать удаленную отладку. Вот учебник: http://geeklearning.io/apache-cordova-and-remote-debugging-on-ios/

1

Источник

user1147388 14 авг '17 в 06:12

Для Cordova, если вы хотите добавить его в свой ios.json, сделайте следующее:

"NSAppTransportSecurity": [
   {
      "xml": "<dict><key>NSAllowsArbitraryLoads</key><true /></dict>"
   }
]

И это должно быть внутри:

"*-Info.plist": {
   "parents": {
   }
}

1

Источник

user2621186 21 мар '16 в 12:41

Как многие уже отмечали, эта проблема связана с iOS 9.0. Они добавили что-то под названием App Transport Security, и я тоже был раздражен, когда он сломал мои приложения.

Вы можете перевязать его с помощью ключа NSAllowsArbitraryLoads на YES в словаре NSAppTransportSecurity в вашем файле.plist, но в конечном итоге вам потребуется переписать код, который формирует ваши URL, чтобы сформировать префикс HTTPS://.

Apple переписала класс NSUrlConnection в iOS 9.0. Вы можете прочитать об этом в NSURLConnection.

Иначе вам, возможно, придется отказаться от iOS 9.0, пока у вас не будет времени, чтобы реализовать правильное решение.

-1

Источник

user4062488 01 окт '15 в 18:41

Другие вопросы по тегам ios xcode ios9 ios10 app-transport-security

user4004102 28 окт '16 в 07:06 2016-10-28 07:06 · Accepted Answer · 2016-10-28 07:06

Если вы используете Xcode 8.0 и Swift 3.0 или Swift 2.2 или даже Objective C:

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
    <key>NSExceptionDomains</key>
    <dict>
        <key>example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSIncludesSubdomains</key>
            <true/>
        </dict>
    </dict>
</dict>

Транспортная безопасность заблокировала открытый текст HTTP

29 ответов

Замечания:

⚠️ Установить Allow Arbitrary Loads к NO!!!

Пример разработки

⚠️ Установить `Allow Arbitrary Loads` к `NO`!!!