一、Android SSL证书基础原理

1.1 SSL/TLS协议工作机制

SSL（Secure Sockets Layer）及其继任者TLS（Transport Layer Security）通过非对称加密建立安全通道。Android应用中，SSL证书主要完成三重验证：

• 域名验证（CN/SAN匹配）
• 证书链完整性验证
• 证书有效期检查

典型握手流程包含ClientHello、ServerHello、Certificate交换等12个步骤。开发者需理解证书验证失败时系统会抛出SSLHandshakeException。

1.2 Android证书验证体系

Android 7.0+引入网络安全性配置（Network Security Configuration），通过res/xml/network_security_config.xml文件实现：

<network-security-config>
    <base-config cleartextTrafficPermitted="false">
        <trust-anchors>
            <certificates src="system" />
            <certificates src="user" />
        </trust-anchors>
    </base-config>
</network-security-config>

该配置文件支持三种信任锚点：系统证书、用户证书和自定义证书。

二、常见SSL证书问题及解决方案

2.1 证书不受信任错误

场景：使用自签名证书或私有CA签发的证书时，系统默认不信任。

解决方案：

1. 方案A：将证书添加到应用资源目录
   ```java
   // 加载证书文件
   InputStream certInput = getResources().openRawResource(R.raw.mycert);
   CertificateFactory cf = CertificateFactory.getInstance(“X.509”);
   Certificate ca = cf.generateCertificate(certInput);

// 创建KeyStore
String keyStoreType = KeyStore.getDefaultType();
KeyStore keyStore = KeyStore.getInstance(keyStoreType);
keyStore.load(null, null);
keyStore.setCertificateEntry(“ca”, ca);

// 创建TrustManager
String tmfAlgorithm = TrustManagerFactory.getDefaultAlgorithm();
TrustManagerFactory tmf = TrustManagerFactory.getInstance(tmfAlgorithm);
tmf.init(keyStore);

2. **方案B**：配置网络安全性配置文件
```xml
<domain-config cleartextTrafficPermitted="false">
    <domain includeSubdomains="true">example.com</domain>
    <trust-anchors>
        <certificates src="@raw/mycert"/>
    </trust-anchors>
</domain-config>

2.2 证书过期处理

最佳实践：

• 实施证书轮换机制，在证书过期前90天开始更新流程
• 使用ACME协议（如Let’s Encrypt）实现自动化证书管理
• 在应用中添加证书有效期检查逻辑：

  public boolean isCertificateValid(X509Certificate cert) {
    Date now = new Date();
    return now.after(cert.getNotBefore()) && now.before(cert.getNotAfter());
  }

三、高级安全实践

3.1 证书固定（Certificate Pinning）

实现方式：

1. OkHttp证书固定：

   OkHttpClient client = new OkHttpClient.Builder()
    .certificatePinner(new CertificatePinner.Builder()
        .add("example.com", "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=")
        .build())
    .build();

2. 自定义TrustManager实现：

   public class PinningTrustManager implements X509TrustManager {
    private static final String EXPECTED_PIN = "sha256/...";
    @Override
    public void checkClientTrusted(X509Certificate[] chain, String authType) {}
    @Override
    public void checkServerTrusted(X509Certificate[] chain, String authType) {
        try {
            byte[] certData = chain[0].getEncoded();
            MessageDigest md = MessageDigest.getInstance("SHA-256");
            byte[] digest = md.digest(certData);
            String pin = Base64.encodeToString(digest, Base64.DEFAULT).trim();
            if (!EXPECTED_PIN.equals(pin)) {
                throw new CertificateException("Certificate pinning failed");
            }
        } catch (Exception e) {
            throw new CertificateException(e);
        }
    }
   }

3.2 HPKP（HTTP Public Key Pinning）替代方案

Android 10+已移除HPKP支持，推荐改用：

• 证书透明度（Certificate Transparency）
• OCSP Stapling验证
• 短期证书（90天有效期）

四、调试与诊断工具

4.1 常用诊断命令

# 查看证书链
openssl s_client -connect example.com:443 -showcerts
# 验证证书有效期
keytool -printcert -file cert.pem
# Android调试桥命令
adb logcat | grep -E "SSL|Certificate"

4.2 网络抓包分析

使用Wireshark或Charles Proxy进行SSL解密分析时，需注意：

1. Android 7.0+默认禁止明文流量
2. 需在应用中配置android:usesCleartextTraffic="true"（不推荐生产环境使用）
3. 推荐使用自定义TrustManager进行中间人调试

五、最佳实践建议

1. 证书生命周期管理：

   • 生产环境使用DV/OV证书，金融类应用必须使用EV证书
   • 证书有效期建议设置为1年（CA/Browser Forum最新标准）

2. 安全配置优化：

   <!-- 严格模式配置示例 -->
   <network-security-config>
    <debug-overrides>
        <trust-anchors>
            <certificates src="system"/>
        </trust-anchors>
    </debug-overrides>
    <base-config cleartextTrafficPermitted="false">
        <trust-anchors>
            <certificates src="system" overridePins="true"/>
        </trust-anchors>
        <pin-set expiration="2025-01-01">
            <pin digest="SHA-256">AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=</pin>
            <pin digest="SHA-256">BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB=</pin>
        </pin-set>
    </base-config>
   </network-security-config>

3. 兼容性处理：

   • 针对Android 5.0-6.0设备，需单独处理证书验证逻辑
   • 使用Security.insertProviderAt(new BouncyCastleProvider(), 1)增强加密支持

六、常见问题排查清单

1. 证书验证失败：

   • 检查系统时间是否正确
   • 验证证书链是否完整
   • 确认中间证书是否已安装

2. 混合内容警告：

   • 使用android:networkSecurityConfig禁用明文流量
   • 升级所有API调用至HTTPS

3. 性能优化建议：

   • 复用SSL会话（SSLSessionCache）
   • 启用会话票证（Session Tickets）
   • 使用TLS 1.2+协议

本指南提供了从基础证书配置到高级安全实践的完整解决方案，开发者可根据实际需求选择适合的方案组合。建议定期进行安全审计，使用Android Studio的Network Profiler监控SSL握手过程，确保应用通信安全。