面试题：Flutter网络请求中如何防止中间人攻击

中间人攻击原理

中间人攻击（Man-in-the-Middle Attack，MITM）是一种网络攻击方式，攻击者介入通信双方之间，拦截、篡改或窃听双方的通信数据。攻击者将自己伪装成通信的两端，使得通信双方误以为是在直接通信，而实际上所有数据都经过攻击者中转。例如，在用户与服务器进行登录认证时，攻击者拦截认证信息，修改登录密码等关键数据，然后转发给服务器，从而达到非法获取信息或破坏通信的目的。

Flutter开发中防止中间人攻击的技术手段

证书验证
- 使用HTTPS：确保Flutter应用与服务器之间的通信使用HTTPS协议。HTTPS通过SSL/TLS协议对通信数据进行加密，中间人无法轻易解密数据。在Flutter中，http库默认支持HTTPS请求。例如，使用http库发送GET请求：

import 'package:http/http.dart' as http;

Future<void> fetchData() async {
  final response = await http.get(Uri.parse('https://example.com/api/data'));
  if (response.statusCode == 200) {
    print(response.body);
  } else {
    print('Request failed with status: ${response.statusCode}.');
  }
}

- **证书固定**：在Flutter应用中，可以实现证书固定（Certificate Pinning）。这意味着应用只信任特定的证书或证书公钥。通过将服务器证书的公钥或指纹硬编码到应用中，当应用与服务器建立连接时，会验证服务器提供的证书是否与硬编码的证书匹配。如果不匹配，则拒绝连接。例如，使用`http`库结合`http_manipulator`库实现证书固定：

import 'package:http/http.dart' as http;
import 'package:http_manipulator/http_manipulator.dart';

Future<void> fetchDataWithPinning() async {
  final pinningHttpClient = PinningHttpClient(
    // 此处替换为服务器证书的公钥或指纹
    pinnedCertificate: 'your_pinned_certificate',
  );
  final response = await pinningHttpClient.get(Uri.parse('https://example.com/api/data'));
  if (response.statusCode == 200) {
    print(response.body);
  } else {
    print('Request failed with status: ${response.statusCode}.');
  }
}

使用安全的网络库
- 除了官方的http库，还可以选择一些经过安全审计的第三方网络库，如dio。dio提供了丰富的功能，包括拦截器、证书验证等。例如，使用dio设置证书验证：

import 'package:dio/dio.dart';

Future<void> fetchDataWithDio() async {
  final dio = Dio();
  // 设置证书验证
  (dio.httpClientAdapter as DefaultHttpClientAdapter).onHttpClientCreate = (client) {
    client.badCertificateCallback = (cert, host, port) => false;
    return client;
  };
  try {
    final response = await dio.get('https://example.com/api/data');
    print(response.data);
  } catch (e) {
    print('Error: $e');
  }
}

加密传输数据
- 即使使用了HTTPS，对敏感数据进一步加密可以提供额外的安全性。在Flutter中，可以使用加密库，如encrypt。例如，在发送用户密码等敏感信息前，先进行加密：

import 'package:encrypt/encrypt.dart';

void main() {
  final key = Key.fromLength(32);
  final iv = IV.fromLength(16);
  final encrypter = Encrypter(AES(key));
  final plainText = 'user_password';
  final encrypted = encrypter.encrypt(plainText, iv: iv);
  // 发送加密后的数据
  print(encrypted.base64);
}

验证服务器身份
- 在建立连接时，不仅要验证证书，还可以通过其他方式验证服务器身份。例如，在应用启动时，从服务器获取一些唯一标识信息，与本地保存的服务器标识进行比对。如果不一致，则提示用户可能存在中间人攻击风险。可以将服务器标识存储在本地配置文件或数据库中，每次连接时进行验证。
定期更新依赖库
- 及时更新Flutter以及相关网络库的版本，因为这些更新通常包含安全漏洞修复。过时的库可能存在已知的安全风险，容易被中间人攻击利用。在pubspec.yaml文件中，将依赖库的版本指定为最新稳定版本，然后运行flutter pub get命令更新依赖。例如：

dependencies:
  http: ^0.13.5
  dio: ^4.0.6

通过以上多种技术手段，可以有效降低Flutter应用在网络通信场景下遭受中间人攻击的风险，保障数据的安全性和完整性。

星途面试题库

面试题：Flutter网络请求中如何防止中间人攻击

知识考点

面试题答案

中间人攻击原理

Flutter开发中防止中间人攻击的技术手段