Hacktoberfest 2026: die Issues, die Maintainer für den Oktober markiert haben – offen und einsteigerfreundlich. Hacktoberfest-Issues durchsuchen

Unsafe implementation of the HostnameVerifier interface

Offen
  • Stimmt etwas nicht?
#20 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
4/5
Geschätzter Aufwand
3-5 Tage
Anfängerfreundlichkeit
38/100
Issue-Typ
Bug
Klarheit
Größtenteils klar
Aktivitätsstatus
Veraltet
Tech-Stack
java
Bereich
mobile-dev, networking, security

Rechercherichtung

Durchsuche den Java-Quellcode nach Verwendungen von HostnameVerifier und setHostnameVerifier und untersuche anschließend den benutzerdefinierten Verifier sowie den im Issue gezeigten accordion-Verbindungspfad. Erledigt ist die Aufgabe, wenn die Implementierung nicht mehr jedem Hostnamen bedingungslos vertraut, sondern stattdessen die erwarteten Hostnamen-Prüfungen durchsetzt, ohne Verifizierungsfehler zu unterdrücken.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Google now is blocking updates to apps that include libraries that have "unsafe" HostnameVerifier implementations. They seem to pattern match the code so always returning true even from a HostnameVerifier that is only used in a safe context the fact that it always returns true seems to trip the filter.

https://support.google.com/faqs/answer/7188426

To properly handle hostname verification, change the implementation of your custom HostnameVerifier interface to perform the following actions:

  • If you are using the HostnameVerifier interface, change the implementation of the verify method to return false whenever the hostname of the server does not meet your expectations.
  • If you are using the X509HostnameVerifier interface, change the implementation of the verify methods (variants 1, 2, 3) to raise an SSLException whenever the hostname of the server does not meet your expectations. Ensure that the Exceptions raised within your verify implementation are not caught and suppressed within the method. Suppressing Exceptions in this manner would cause verify to exit normally, leading the app to trust all hostnames.
package com.deezer.sdk.network.b;

...

public class Blues {
  
  ...
  
  private static final HostnameVerifier bagpipes = new HostnameVerifier() {
      public final boolean verify(String hostname, SSLSession session) {
          return true;
      }
  };

  ...

  private static HttpURLConnection accordion(String var0, String var1, boolean var2) throws IOException {
      Object var3;
      if (var2) {
          ((HttpsURLConnection)(var3 = (HttpsURLConnection)(new URL(var0)).openConnection())).setHostnameVerifier(bagpipes);
      } else {
          var3 = (HttpURLConnection)(new URL(var0)).openConnection();
      }

      ((HttpURLConnection)var3).setRequestProperty("User-Agent", var1);
      return (HttpURLConnection)var3;
  }

  ...

}
Vorherrschende Sprache
Java
Sterne
42
Forks
25
Keine gemergten PRs in 30 T.

Entwicklungsumgebung

Die Einrichtungsdateien dieses Projekts haben wir noch nicht geprüft. Beginnen Sie mit der README; die allgemeinen Schritte stehen in unserem Leitfaden für den ersten Beitrag.

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus deezer/android-sample

Alle Issues in deezer/android-sample

Ähnliche Issues

Weitere Issues zu Java

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.