android - iOS 允许无效证书而 android 不允许

Question

在我们的一个应用程序部署过程中出现了异常情况。 iOS 版本运行良好，但 Android 版本的应用程序无法运行。经过一些排查，我们发现应用程序调用了 api。 Api Web 服务器缺少证书链。我们在带有 safari 的 iOS8 iphone 上尝试了 api 调用，它在没有任何警告的情况下工作，而在 android 上，它给出了证书警告。我明白这个问题，但想知道为什么它在 iOS 上有效？ iOS 是否存在操作系统级别的 SSL 验证错误？

Answer 1

您看到的行为是由于一些浏览器和用户代理(包括 iOS 上的 Safari)实现的称为 AIA 追踪的功能。证书可以具有 Authority Information Access extension 的值浏览器或底层框架可以使用它来构建完整的证书链，方法是在服务器未提供中间件的情况下获取中间件。

Android 不执行 AIA 追踪，这就是为什么您在从 Android 应用程序调用 API 时看到错误。我一直没能找出为什么这不是内置在 Android 中。

解决此问题的正确方法是确保网络服务器向连接的客户端提供必要的中间证书。