有的时候咱们会为了APP的平安做很多措施，就比方双向认证，通过证书帮忙咱们做通信加密。咱们通过以下几个问题帮忙咱们更进一步地理解和施行。
- 什么是双向认证？
- https是双向认证吗？
- SSL/TLS Pinning和双向认证的区别？
双向认证理论就是通信单方相互认证的一个过程，做的比拟多的就是客户端和服务端的互相认证，就是单方在通信的时候先校验下单方是否是非法的，留神是单方都要校验
有的同学就想，那https的校验过程属于双向认证吗？接下来，咱们先来看下它的过程
这里借用其它网站的一张图，这个过程理论就是SSL/TLS加密的过程
1.客户端发送申请
2.服务端把申请的证书(就是下面服务端生成的公钥私钥,实际上证书不仅蕴含这些) 发给客户端
3。客户端利用本地环境的ca证书(个别是由公共权威的机构内置在手机或电脑内)查看服务端证书合法性后，生成随机key，并用证书里的公钥加密发给服务端
4.服务端接管到后，利用私钥对客户端key的hash加密，发给客户端
5.客户端用公钥解密后看本人的key的hash是否统一
6.如果统一将会把生成的对称算法和密钥用服务端的公钥发给对方，而后就开始传输数据
通过这几个步骤咱们发现，只有客户端校验了服务端的证书，但服务端并没有对客户端进行粗疏的校验，所以咱们能够通过不同客户端向服务端发送申请。
那么问题来了，出于更高规格的平安思考，我可不可以让我的服务端只承受我APP里收回的申请呢？
前端大略思路如下：
- 生成自签的客户端和服务端证书，拿到前端的客户端证书和ca证书
- 安卓端须要先将客户端证书的公钥和私钥转成p12格局，再转成bks格局；ios端p12就能够了
- 而后通过rn的原生模块嵌入到我的项目，具体能够看下rn的官网文档
这样在通信的时候，客户端收到服务端的证书会应用本人APP内嵌的自签ca证书去校验服务端，服务端也会应用自签的ca证书去校验客户端的证书，这样就能够实现只有自家的那些APP能够和服务端通信了
留神：因为APP内嵌了证书，而APP又容易解包，所以就要做好APP的防护了！
另外，有的同学可能理解过SSL Pinning，咱们晓得SSL Pinning有两种策略，一种是把服务端证书放APP，一种是放服务端的公钥，而后通过证书或公钥对服务端进行非法校验。
但不论是哪种形式，实际上还是客户端在校验服务端罢了。
参考文章： HTTP 与 HTTPS 的区别