前言

今天公司说要把项目的网络请求改成https，如果证书是那种权威机构颁发的，则代码不需要做做任何修改，只需要网址改成https即可，不巧的是，我们公司的项目作用于内网，使用权威机构颁发的证书没什么用，因为要进行认证肯定要连外网才能认证得到，我们是内网，而且权威证书是要花钱买的，于是打算用一个自定义的证书（即自己生产的证书）。于是我又得花一翻功夫去修改代码以便可以访问https的请求，最开始是直接搜索的OkHttp信认证书、WebView信任证书，后来发现谷歌有一个更简单的设置信任证书的办法，那就是在xml中直接配置即可，不需要修改任何的Java代码，哎，所以有说，有时间还是要多逛逛Android官方文档，网上的答案很多都不是最好的，而官方上的东西则一般是最新的，最推荐使用的。

官网在此。

一、信任指定的证书

在res目录下创建一个xml文件，然后创建一个network_security_config.xml（官方用的是这个名字，用其他名字应该也没问题），然后就是在这个文件中写入一些关于https的配置，这跟Application一样，文件有了还不会生效，需要在清单文件中声明，如下：

<applicationandroid:icon="@mipmap/ic_launcher"android:label="@string/app_name"android:networkSecurityConfig="@xml/network_security_config"></application>

假设我们有一个xxx.crt的证书文件，按照谷歌的要求，需要放到res/raw/目录下面，接下来就是如何在network_security_config文件中配置我们的网络信任这个证书了，有两种方式，如下：

方式一：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config><base-config><trust-anchors><certificates src="@raw/xxx" /></trust-anchors></base-config>
</network-security-config>

方式二：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config><domain-config><domain includeSubdomains="true">baidu.com</domain><trust-anchors><certificates src="@raw/xxx"/></trust-anchors></domain-config>
</network-security-config>

注：我们公司使用的是内网，又没有dns服务器，所以访问api接口都是直接使用ip的，所以上面的baidu.com的地方可以直接修改成ip地址，那个证书里面是要设置一个域名的，同时还要设置对应的ip，对应的ip可以设置多个的，如果证书里面没有指定的ip，则这个证书是无效的，使用时会报错。

这两种方式的区别，方式二使用domain-config限制了baidu.com或它的子域名都信任我们指定的xxx证书，而方式一使用base-config则表示应用的访问的所有域名的资源都信任我们指定的xxx证书。要按安全性来说的话首先方式二，就为它的限制更高一些。

用于配置我们要信任什么证书，直接使用@raw/xxx为配置信任自定义的证书，如果要指定信任预安装的证书，需要另外指定，预安装的证书有系统和用户两种类型，如下：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config><base-config><trust-anchors><certificates src="@raw/dazhoucn" /> <!--信任自定义的CA证书--><certificates src="system" /> <!--信任系统预装的CA证书--><certificates src="user" />   <!--信任用户安装的CA证书--></trust-anchors></base-config>
</network-security-config>

可以看到，我们可以指定任凭多个证书，或者某一类型的证书（如预装的系统证书）

在Android6.0及以下版本默认是会信任用户安装的CA证书的，7.0及更高版本默认就只信任预装的系统CA证书了，所以我们最好不要配置信任用户安装的CA证书，因为有可能黑客往手机装了一个证书进去呢！

配置好了当然要测试一下了，我就随便拿了个百度（https://m.baidu.com）来试，OkHttp请求是没问题的，但是WebView加载出不了，后来发现百度里面用到了JS，所以需要允许JS，如下：

二、WebView加载网站出不来的问题

webView.settings.javaScriptEnabled = true

系统会提示说不安全，因为网站通过js就能调用你的android代码，如果你确认你的网站没用到JS的话就不要打开这个开关，如果用到了，就添加一个注解忽略它就行了。

后来就使用我们公司的网站了，发现也出不来，后来发现公司网站用到了dom存储，所以还需要打开这个开关：

webView.settings.domStorageEnabled = true

三、Android6.0及更低版本的CA证书信任处理

测试的时候发现上面的设置方法对于Android6.0及更低版本无效，通过了解才知道了原因：

在Android 6.0的时候，在清单文件的application节点中新增了一个属性android:usesCleartextTraffic，含义为“使用明文通信”，设置为true则为允许使用http（明文）请求，设置为false则不允许使用http请求，只能使用https（加密）请求。

在Android7.0的时候，新增了通过network_security_config.xml的方式来配置https请求。

所以，xml配置https是在7.0的时候才出来的，用到更低的版本上肯定是不生效的，谷歌官网上只是说了在Android6.0的版本时它的默认设置是怎样的，并没有说我们在xml中的设置可以在Android6.0中起作用。

谷哥说的各种版本的https默认配置如下：

Android 9（API 级别 28）及更高版本为目标平台的应用的默认配置如下所示：

    <base-config cleartextTrafficPermitted="false"><trust-anchors><certificates src="system" /></trust-anchors></base-config>

可以看到，当你在gradle中把目标版本设置为false时，默认的https配置是不允许使用明文通信的（http通信），而且默认信任系统类型的预装CA证书。所以，当我们他创建一个新项目的时候，默认目标版本都29或30或更高，我们声明了网络访问权限，确发现访问http时访问不了，就是因为默认不允许使用http了，如果你坚持想要使用http（明文通信），则可以把cleartextTrafficPermitted设置为true即可。

Android 7.0（API 级别 24）到 Android 8.1（API 级别 27）为目标平台的应用的默认配置如下所示：

    <base-config cleartextTrafficPermitted="true"><trust-anchors><certificates src="system" /></trust-anchors></base-config>

以 Android 6.0（API 级别 23）及更低版本为目标平台的应用的默认配置如下所示：

    <base-config cleartextTrafficPermitted="true"><trust-anchors><certificates src="system" /><certificates src="user" /></trust-anchors></base-config>

这只是说明Android6.0中关于https的默认行为配置是这样的，并不等于你可以在xml中修改一下就能修改到这些配置，因为在Android6.0的时候还没有使用xml进行配置的方式。