Как заставить Commons HTTPClient 3.1 использовать TLS 1.2 только для HTTPS?

Жаль, что никто не ответил; Я смог это сделать, сначала вы пишете CustomHttpSocketFactory, а затем делаете:

String scheme = "https";
Protocol baseHttps = Protocol.getProtocol(scheme);
int defaultPort = baseHttps.getDefaultPort();

ProtocolSocketFactory baseFactory = baseHttps.getSocketFactory();
ProtocolSocketFactory customFactory = new CustomHttpsSocketFactory(baseFactory);

Protocol customHttps = new Protocol(scheme, customFactory, defaultPort);
Protocol.registerProtocol(scheme, customHttps); 

Пример фабричного кода пользовательского сокета можно найти здесь, но вместо этого я делал:

public class CustomHttpsSocketFactory implements SecureProtocolSocketFactory
{

   private final SecureProtocolSocketFactory base;

   public CustomHttpsSocketFactory(ProtocolSocketFactory base)
   {
      if(base == null || !(base instanceof SecureProtocolSocketFactory)) throw new IllegalArgumentException();
      this.base = (SecureProtocolSocketFactory) base;
   }

   private Socket acceptOnlyTLS12(Socket socket)
   {
      if(!(socket instanceof SSLSocket)) return socket;
      SSLSocket sslSocket = (SSLSocket) socket;
      sslSocket.setEnabledProtocols(new String[]{"TLSv1.2" });
      return sslSocket;
   }

   @Override
   public Socket createSocket(String host, int port) throws IOException
   {
      return acceptOnlyTLS12(base.createSocket(host, port));
   }
   @Override
   public Socket createSocket(String host, int port, InetAddress localAddress, int localPort) throws IOException
   {
      return acceptOnlyTLS12(base.createSocket(host, port, localAddress, localPort));
   }
   @Override
   public Socket createSocket(String host, int port, InetAddress localAddress, int localPort, HttpConnectionParams params) throws IOException
   {
      return acceptOnlyTLS12(base.createSocket(host, port, localAddress, localPort, params));
   }
   @Override
   public Socket createSocket(Socket socket, String host, int port, boolean autoClose) throws IOException
   {
      return acceptOnlyTLS12(base.createSocket(socket, host, port, autoClose));
   }

}

Вам нужна ссылка на сокет в вашем коде. Затем вы можете установить на нем включенные протоколы следующим образом:

if (socket != null && (socket instanceof SSLSocket)) {
    ((SSLSocket)socket).setEnabledProtocols(new String[] {"TLSv1.2"});
}

Это зависит от того, как вы пишете своих клиентов и какие версии JRE используете:

Если вы используете JRE8 (если вы не заменили SunJSSE по умолчанию, поставляемый с JRE8), существует системное свойство "jdk.tls.client.protocols". По умолчанию все, что вы здесь укажете, будет использоваться для всех клиентских коммуникаций.

Если вы используете объект HttpsURLConnection для подключения клиента, вы можете использовать системное свойство «https.protocols». Это будет работать для всех версий JRE, а не только для JRE8.

Если вы ничего не укажете, для клиентов TLS в JRE8 включены TLSv1, v1.1 и v1.2, поэтому он будет работать с сервером, поддерживающим любую из этих версий. Однако в JRE7 по умолчанию включен только TLSv1.

В вашем коде вы всегда можете переопределить значение по умолчанию или то, что вы передаете через системные свойства. То, что вы установили в коде, будет иметь более высокий приоритет. Чтобы переопределить в коде...

1) Если вы используете необработанный сокет и SSLEngine, вы можете установить протокол и шифры в SSLEngine (sslEngine.setEnabledProtocols(..)

2) Если вы используете SSLSocket, вы можете установить протокол и шифры в SSLSocket (sslSocket.setEnabledProtocols(..)

Вы также можете получить SSLContext с включенным требуемым протоколом и использовать его для любых компонентов SSL, которые вы используете. SSLContext.getInstance("TLSvx.x"). Обратите внимание, что по умолчанию он возвращает контекст со всеми протоколами, меньшими, чем включенный TLSvx.x. Если вы настроили «jdk.tls.client.protocols», это вернет контекст с включенными этими протоколами.

Не было бы хорошей идеей жестко закодировать протоколы в коде. Довольно часто мы сталкиваемся с тем, что некоторым клиентам нужна конкретная версия либо потому, что они используют старые серверы, либо в некоторых версиях TLS встречаются серьезные уязвимости. Либо установите его через системные свойства, либо даже если вы явно устанавливаете в sslsocket или sslengine, прочитайте это из какого-то файла conf.

Также см.:

https://docs.oracle.com/javase/8/docs/technotes/guides/security/jsse/JSSERefGuide.html

http://docs.oracle.com/javase/8/docs/technotes/guides/security/SunProviders.html