WebView如何添加自定义SSL证书？

在移动应用开发中,WebView作为嵌入原生应用的浏览器组件，常用于展示网页内容，当WebView需要加载HTTPS资源时，可能会遇到SSL证书验证失败的问题，这通常源于证书不受信任、域名不匹配或证书链不完整等情况，为解决这些问题，开发者需手动为WebView添加SSL证书，以确保数据传输的安全性和应用的正常运行。

SSL证书验证失败的原因

SSL证书验证失败是WebView加载HTTPS页面时的常见障碍,主要原因包括：

1. 自签名证书：服务器使用自签名证书，未被Android系统信任。
2. 证书颁发机构（CA）不受信任：证书由非权威CA签发，或CA证书未预装在设备中。
3. 域名不匹配：证书中的域名与访问的域名不一致。
4. 证书过期或吊销：证书已超过有效期或被CA吊销。

为WebView添加SSL证书的步骤

获取服务器证书

首先需要从服务器获取证书文件（通常为.cer或.pem格式），可通过以下方式获取：

• 使用OpenSSL命令：

  openssl s_client -connect 域名:443 -showcerts </dev/null 2>/dev/null | openssl x509 -outform PEM > server_cert.pem

• 浏览器导出：通过浏览器访问HTTPS站点，从地址栏或证书详情中导出证书。

将证书添加到应用资源

将获取的证书文件放置到应用的assets或res/raw目录下，例如assets/server_cert.pem。

配置WebView信任自定义证书

在代码中加载证书并配置WebView的SSL上下文,核心步骤如下：

（1）读取证书文件

try (InputStream inputStream = context.getAssets().open("server_cert.pem")) {
    CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
    Certificate ca = certFactory.generateCertificate(inputStream);
}

（2）创建KeyStore并信任证书

String keyStoreType = KeyStore.getDefaultType();
KeyStore keyStore = KeyStore.getInstance(keyStoreType);
keyStore.load(null, null);
keyStore.setCertificateEntry("ca", ca);

（3）初始化TrustManagerFactory

TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(
    TrustManagerFactory.getDefaultAlgorithm());
trustManagerFactory.init(keyStore);

（4）配置SSLContext

SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, trustManagerFactory.getTrustManagers(), new SecureRandom());

（5）设置WebView的SSL上下文

if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.LOLLIPOP_MR1) {
    CookieManager.getInstance().setAcceptThirdPartyCookies(webView, true);
    webView.setWebViewClient(new CustomWebViewClient(sslContext.getSocketFactory()));
}

自定义WebViewClient处理SSL请求

private static class CustomWebViewClient extends WebViewClient {
    private final SSLSocketFactory sslSocketFactory;
    public CustomWebViewClient(SSLSocketFactory sslSocketFactory) {
        this.sslSocketFactory = sslSocketFactory;
    }
    @Override
    public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
        // 强制忽略SSL错误（仅测试环境推荐）
        handler.proceed();
    }
    @Nullable
    @Override
    public HttpsURLConnection openConnection(WebView view, String url) throws IOException {
        HttpsURLConnection connection = (HttpsURLConnection) new URL(url).openConnection();
        connection.setSSLSocketFactory(sslSocketFactory);
        return connection;
    }
}

注意事项

1. 安全性：忽略SSL错误（如handler.proceed()）会降低安全性，仅适用于测试环境，生产环境应确保证书合法可信。
2. 证书更新：若服务器证书更新，需及时替换应用中的证书文件，避免验证失败。
3. Android版本差异：不同Android版本的SSL处理方式可能不同，需注意兼容性。

常见问题与解决方案（FAQs）

问题1：为什么添加了证书后，WebView仍提示SSL证书不可信？
解答：可能原因包括证书文件路径错误、证书格式不匹配（如需转换为PEM格式），或证书链未完整包含中间证书，需检查证书是否正确加载到KeyStore，并确保服务器发送的完整证书链均被信任。

问题2：如何动态加载证书而非预置在APK中？
解答：可通过网络下载证书或让用户导入证书文件，下载后使用CertificateFactory生成证书对象并动态配置到KeyStore，但需注意证书来源的合法性，避免中间人攻击，动态加载的证书需妥善存储，建议使用Android Keystore加密保护。