使用TLS证书与使用身份验证令牌的iOS推送通知

Question

我正在阅读使用TLS证书进行推送和使用身份验证令牌进行推送的文档

但是，除了说明如何配置每种方法外，文章还没有真正说明两种方法的区别或优点/缺点。有人可以向我解释吗？

Answer 1

基于令牌的身份验证是更新的，从本质上简化了APNS身份验证。它基于您可以在Apple开发人员帐户上生成的公钥和私钥对。

这是它更简单的主要原因：

• 相同的密钥可用于开发和生产应用程序，而在使用基于证书的身份验证时则需要不同的证书。
• Apple开发者帐户中引用的所有应用程序都使用相同的密钥。基于证书的身份验证每个应用程序需要一个证书。
• 密钥不会过期。证书确实会过期，并且需要每年左右更新。

关于APNS的2016年WWDC视频是一个很好的情报来源：https : //developer.apple.com/videos/play/wwdc2016/724/

Answer 2

2020年，你只能现实地使用“令牌”方法。较旧的方法是遗留的，他们可能会砍掉它。

你的私钥看起来像这样

let keystring = `-----BEGIN PRIVATE KEY-----
MIGTAgEAMBMGByqGSM49Aas8d76as8das687asd687asd68as8brwUIWA46qcXis
zCu6dbd4s8d7b5s86gf98ugtr28re7089a7d6tbvpiiui524kyfpq9861eFJP7we
eE7rX4182609457ohgyj3lhgp98wfb698bfg69287f2k4htgwpo876grwo7XDklz
9fdg689d
-----END PRIVATE KEY-----`

您的密钥 ID将如下所示

let keyId = "CTU7XXBPRH"

并且您的 Apple 团队 ID 是您常用的 Apple 团队 ID，看起来像“YWD3UUTEWD”。

如今 - 谢天谢地 - 在 Apple 开发者网站上从贵公司帐户中获取私钥和​​密钥 ID 相对容易。

如果你想在 AWS 上的普通 Node 服务器上测试发送推送，我强烈推荐这个优秀的新 npm，APNS2 https://www.npmjs.com/package/apns2

let bn = new BasicNotification(deviceToken, 'Hello')

发送推送就是这么简单。

提示：

不要忘记该死的“开发/沙盒”推送只能在连接到您的 MAC/XCODE 的 IPHONE 上工作！

• 开发/沙盒推送 - 仅适用于通过 Xcode 运行构建并连接到 Mac的 iPhone

• 生产推送 -它们与TestFlight构建完全一致。

另外：不要忘记所谓的开发/沙盒推送通常是不稳定的。通常，他们几个小时都没有到达，他们根本没有到达，他们根本不在许多地区工作。

不要忘了，这是完全正常使用“生产”的，简单地说，用TestFlight应用。

所以

1. 进行构建
2. 将其推送到您的 TestFlight 帐户。像往常一样等待几分钟，直到构建通过，
3. 从 TestFlight安装到您的手机
4. 您现在将获得所有推送 - 立即！

而如果你

1. 进行构建
2. 只需构建/运行到您的系留iPhone
3. 你没有得到任何推动。
4. 的确，您可以获得所谓的“开发”推送，但它们通常非常脆弱。

（需要明确的是，在使用 APNS2 时，如果您确实想尝试“开发”推送，要订购“开发”推送，只需使用此处底部解释的额外代码行https://www.npmjs.com/package /apns2 )

Answer 3

2021 年，Apple设置远程通知服务器状态

两种技术都有优点和缺点，因此请决定哪种技术最适合您的公司。

Fattie 和 Ika 都表示基于 TLS/证书的身份验证较差。Firebase 中的项目 UI也使用了一些无法解释太多恕我直言的语言：

建议使用身份验证密钥进行配置，因为它们是向 iOS 发送通知的最新方法

证书认证的好处

• 有限的访问证书。每个证书都与您的开发人员帐户和环境（开发/生产）中的一个应用程序绑定。这可以避免将所有鸡蛋放在一个篮子里，如果您的令牌身份验证密钥遭到泄露，威胁参与者可以将通知推送到您的所有应用程序。
• 更简单的提供者应用程序逻辑。提供商（与 APN 交互的服务）（您自己的服务器或您使用的服务）只需使用 TLS 证书即可进行身份验证，无需创建 JWT、向请求添加标头或查找要使用的正确应用程序 ID。

令牌身份验证的好处

• 设置过程更简单：因为您只需下载.p12并使用您的应用程序。进入developer.apple.com，创建一个推送通知密钥。但是，您的应用程序必须每小时更新这些令牌。创建.p12TLS 身份验证需要更多的工作。
• 不会过期，因此您可以设置它并忘记它。而 TLS 证书默认在 1 年后过期。

问题归结为安全性与便利性。

• 方便（使用令牌身份验证）：创建密钥并忘记（令牌身份验证）很方便，并且您可以使用 Firebase（或其他服务）实际上每小时更新令牌，因此您无需做太多工作。
• 安全性（使用 TLS 身份验证）：您真的想在所有应用程序之间共享相同的密钥吗？如果您想要限制推送通知服务提供商（例如 Firebase、Ably、Pusher）的范围，但不信任让他们访问您的所有应用程序，该怎么办？实际上，您可能只有 1 个应用程序，所以这并不重要。

这种均匀的安全性重要吗，还是使用 Token Auth 更方便？我想说在大多数情况下，请使用令牌身份验证。