httpUrlConnection 和 httpclient 对证书验证提供空实现，会怎样被攻击

[Registering]

```java

private class MyHostnameVerifier implements HostnameVerifier {
@Override
public boolean verify(String hostname, SSLSession session) {
// TODO Auto-generated method stub
return true;
}

}

private class MyTrustManager implements X509TrustManager {
@Override
public void checkClientTrusted(X509Certificate[] chain, String authType)
throws CertificateException {
// TODO Auto-generated method stub
}

@Override
public void checkServerTrusted(X509Certificate[] chain, String authType)

throws CertificateException {
// TODO Auto-generated method stub
}

@Override
public X509Certificate[] getAcceptedIssuers() {
// TODO Auto-generated method stub
return null;
}

}

```

有些 https 请求，如果不是 android 系统自带信任的证书，我们需要去拿服务器对应的证书放到本地，发送请求时带上，，
也有一种方法，像上面的代码对证书验证的方法提供一个空实现，这样也可以访问，，这种做法会有怎样的安全风险，可以怎样被攻击

[cnhongwei]

我想的话，如果是空实现，不验证证书，中间人可以使用自颁发的证书很轻松的进行中间人攻击了吧。

[songco]

同楼上, 中间人攻击.

[xFrank]

最常见的攻击场景：公共场合开放的 WiFi 热点

[Registering]

[lincanbin]

httpclient 不是已经被废弃了吗？