Android WebView使用客户端证书

Question

Android WebView使用客户端证书

androidsslwebviewclientcertificate

22

我尝试使用内嵌在应用中的客户端证书来使用Web视图，但好像安卓SDK并没有提供任何方法来做到这一点，是否有回调函数可以拦截服务器发送的挑战？是否有办法使用带有客户端证书并进行 HTTPS 请求的 Web 视图？

- user2202628

这个比较新的 Q 看起来是一个重复，但展现了新的希望：https://dev59.com/RVsW5IYBdhLWcg3wTly8 - Stephen J

实际上，这确实有效。我刚刚使用一个base64字符串进行了测试，它是一个证书，立即ping了我的服务器并正确地显示了页面。保留上面的链接和评论，以便未来的旅行者！ - Stephen J

8个回答

9

在 API 21（Android Lollipop）及更高版本中，您可以覆盖 WebViewClient.onReceivedClientCertRequest(WebView view, ClientCertRequest request) 方法。在该方法中，使用您的密钥管理器获取私钥和证书链，并调用 request.proceed()。

- Miloš Černilovský

9

如果您只需要在Web视图中忽略ssl证书请求，这对我在Lollipop上有效：

在您的Web视图客户端内，覆盖：

@Override
public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
    handler.proceed(); // Ignore SSL certificate errors
}

这对于针对qa/dev/stage环境调试webview非常有用。

- Eduard

1

使用这段代码片段，您的应用程序很有可能在Google应用验证中被拒绝。我曾经遇到过这种情况。请参见https://dev59.com/kVsV5IYBdhLWcg3w2h0s - Franklin Hirata

3

这并不是“被拒的很大机会”，Play商店会自动检测到这种绕过方式，并且毫无机会地拒绝 :) - StevenTB

1

我的应用程序昨天因为这段代码被拒绝了。我不会再使用它了。 - Nickmccomb

3

@Nickmccomb请仔细阅读答案！正如它所述，“这对于针对qa/dev/stage环境调试webviews非常有用。”不适用于生产代码。 - Eduard

8

为了遵守更新的安全策略，以防止应用程序被谷歌商店拒绝，请正确处理SSL证书验证。当服务器呈现的证书符合您的期望时，请更改您的代码以调用SslErrorHandler.proceed()，否则请调用SslErrorHandler.cancel()。

例如，我添加了一个警报对话框，让用户确认后，似乎谷歌不再显示警告。

    @Override
    public void onReceivedSslError(WebView view, final SslErrorHandler handler, SslError error) {
    final AlertDialog.Builder builder = new AlertDialog.Builder(this);
    String message = "SSL Certificate error.";
        switch (error.getPrimaryError()) {
            case SslError.SSL_UNTRUSTED:
                message = "The certificate authority is not trusted.";
                break;
            case SslError.SSL_EXPIRED:
                message = "The certificate has expired.";
                break;
            case SslError.SSL_IDMISMATCH:
                message = "The certificate Hostname mismatch.";
                break;
            case SslError.SSL_NOTYETVALID:
                message = "The certificate is not yet valid.";
                break;
        }
        message += " Do you want to continue anyway?";

        builder.setTitle("SSL Certificate Error");
        builder.setMessage(message);
    builder.setPositiveButton("continue", new DialogInterface.OnClickListener() {
        @Override
        public void onClick(DialogInterface dialog, int which) {
            handler.proceed();
        }
    });
    builder.setNegativeButton("cancel", new DialogInterface.OnClickListener() {
        @Override
        public void onClick(DialogInterface dialog, int which) {
            handler.cancel();
        }
    });
    final AlertDialog dialog = builder.create();
    dialog.show();
}