证书校验的本质就是“查三代”
App与服务器之间的证书校验，核心是验证服务器出示的SSL证书是否由可信的CA机构签发、是否在有效期内、以及证书绑定的域名是否和当前请求的地址匹配。这个过程由系统级的TrustManager（信任管理器）执行，绝大多数情况下App开发者无需手动干预,只需要确保服务器端证书配置正确即可。
证书校验的完整链路：从握手到信任
当App通过HTTPS协议访问服务器时，双方会执行一次TLS/SSL握手,这个握手过程可以拆解成三个关键步骤。
- 服务器把证书链发送给App客户端,包括服务器证书和中间证书。
- App内置的信任库检查证书链的根证书是否被系统信任。
- App校验证书的域名、有效期和签名是否有效。
业内专家将这个过程比喻为“带着身份证去政务大厅办事”服务器出具证明，App负责验证证明的真伪和有效期，证书的签发机构列表被预装在操作系统里,Android和iOS都会定期更新这份根证书库。
域名匹配校验：最容易出错的环节
证书中有一个字段叫Subject Alternative Name（SAN），它列出了该证书合法的域名列表，当App访问https://api.example.com时，系统会检查证书的SAN是否包含api.example.com,如果不匹配就会直接中断连接。
这里容易犯一个隐蔽错误：很多开发者申请的是example.com的证书，但App实际请求的是www.example.com，两者在SAN中不一定等价。通配符证书（.example.com）只能匹配一级子域名，无法匹配api.example.com这种二级子域名。
证书链不完整：线上环境最常见的不信任原因
不少App在开发环境测试正常，一旦上线就报告证书校验失败，八成是服务器没有配置完整的证书链，服务器证书只是最外层,中间证书和根证书必须拼成一条完整的链发给客户端。
- 只部署了域名证书,缺少中间证书。
- 证书链顺序颠倒,把根证书发给了客户端。
- 使用了过期或被吊销的中间证书。
如何验证证书链是否完整
使用OpenSSL命令行工具可以直接查看服务器下发的证书链。
openssl s_client -connect api.example.com:443 -showcerts执行这条命令后，看输出的证书数量，如果只显示一张证书，说明服务器只发送了叶子证书，缺少中间证书，对于Nginx服务器，需要将域名证书和中间证书合并到一个.pem文件中，顺序是“域名证书在最前，中间证书跟在后面”。
App端处理证书链的两种方式
系统默认校验是大多数场景的正确选择，App直接使用系统的TrustManager，信任预装在系统里的CA根证书，这种方式无需任何额外代码,但要求服务器证书必须由受信任的CA签发。
自定义TrustManager校验适合企业级内部App，开发者可以只信任自己公司的根证书，忽略其他CA机构，这种方式的隐患在于一旦自定义TrustManager实现写得过于宽松，比如信任所有证书,会导致中间人攻击防护失效。
证书有效期校验：时间问题伪装成网络故障
证书的有效期是一个明确的起止时间段，当服务器证书过期或App本机时间严重偏离真实时间时，校验都会失败，统计显示，相当一部分App无法访问HTTPS接口的线上问题,最后排查下来都是设备时间设置错误。
- App设备时间晚于证书的生效时间,系统会判定证书尚未生效。
- 设备时间早于证书的生效时间（比如新购手机时间错误）,系统会直接拒绝。
- 服务器端证书已过期但运维人员未及时更换。
行业共识认为，证书自动续期工具ACME协议已经解决了大部分过期问题,但App端纯本地缓存页面时仍可能展示过时的证书信任状态。
如何处理时间校验失败
开发者可以在App的日志中捕获CertPathValidatorException异常，并单独提示用户检查系统时间设置，具体做法是监听网络请求的回调，当错误类型为SSLHandshakeException且内部原因指向时间问题时,在界面上展示时间校准提示。
测试环境如何处理自签名证书
开发阶段很多团队使用自签名证书模拟HTTPS,此时App需要特殊处理才能完成证书校验。
Android平台的处理方式
在Android的res/raw目录下放入证书文件，然后在代码中构建自定义的TrustManager。
CertificateFactory cf = CertificateFactory.getInstance("X.509");
InputStream caInput = getResources().openRawResource(R.raw.ca);
Certificate ca = cf.generateCertificate(caInput);
KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());
ks.load(null, null);
ks.setCertificateEntry("ca", ca);
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(ks);
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, tmf.getTrustManagers(), null);这段代码执行后，App只会信任这个自签名证书，其他证书一律拒绝，生产环境切换时,删除这段代码即可。
iOS平台的替代方案
iOS的ATS（App Transport Security）默认禁止非HTTPS连接，测试自签名环境时需要开启NSAllowsLocalNetworking或针对特定域名配置例外。注意App Store审核规则对ATS例外有严格限制，例外域名只适用于开发和内部测试阶段。
app证书校验失败是什么原因导致的
以下三个原因覆盖了绝大多数线上证书校验失败场景。
- 服务器证书链不完整,缺少中间证书。
- 证书绑定的域名与App实际访问的域名不一致。
- 证书过期、被吊销或App设备时间错误。
实战排查路径
第一步，用浏览器访问服务器URL，点击地址栏锁形图标查看证书信息，能直观看到证书的签发机构、有效期和域名列表。
第二步，用第三方工具站检测域名证书链,可以确认服务端下发的证书是否完整。
第三步，在App中临时开启证书日志输出，使用OkHttp的EventListener监听Handshake事件,拿到的具体错误信息能帮助定位是根证书信任问题还是域名匹配问题。
常见问题快速问答
App怎么验证服务器证书是否有效
可以通过系统API的默认校验机制完成，只需要正常发起HTTPS请求即可，如果希望主动获取证书详情进行二次确认，可以使用SSLPeerUnverifiedException等回调接口拿到链上的证书对象，再检查其getNotAfter()和getSubjectDN()字段。
app ssl证书验证失败怎么处理
先检查服务器证书链是否完整，再检查域名是否匹配，最后检查设备时间和证书有效期，如果使用自签名证书，需要确认代码中是否正确配置了TrustManager,并且该配置不能被带到生产环境。
证书校验和证书固定有什么本质区别
证书校验是验证证书是否由可信CA签发且域名匹配，证书固定是在此基础上额外指定必须信任某一张具体证书，固定策略提高了安全性，但证书更新时必须同步发布App新版本，因此多数App仅在校验层处理,不做固定处理。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/699505.html
