Android - 自定义 SSL 证书链检查，无需将 keystore 与应用程序 bundle 在一起

Question

我正在寻找一种解决方案，它可以让我使用内置 keystore 和 StrictHostnameVerifier，但可以让我获得 X590CertificateChain(连接后或握手后)，因此我可以执行一些额外的检查(特别是我想验证根公钥是我所期望的)。

我研究过的示例主要围绕覆盖行为(即通过将套接字工厂或主机名检查器替换为不执行任何操作的示例)，我正在努力解决 android 和其他 java 实现之间的差异。

我不想 bundle keystore (除了必须使用 bouncycaSTLe 而不是 jks 之外)的原因是我不想将中间 CA 证书与应用程序打包在一起，因为这会更快地产生证书管理问题.

非常感谢您提出任何意见。

Answer 1

理想情况下，这应该在运行时完成。当某些设备可能已经安装了该证书时， bundle 证书也可能是多余的。

通常，您的方法应该是这样的。

1. 尝试连接到服务器。
2. 如果未安装证书，您将获得证书异常。捕获它，提取公共(public)证书，通过即时创建 keystore 来保存它。
3. 在建立新连接时，使用此 keystore 初始化您的 SSL 上下文。