我有 2 台设备无法连接到我的 TLS v1.2 端点。所有其他似乎都可以，包括浏览器、PostMan 和 iOS 设备。

设备运行的是 Android 5 和 7(因此 应该 TLS v1.2 支持没有问题)。

注意:这不是自签名证书。它由亚马逊签名。

当时的想法是:

1. Android fragment - 可能是设备(一个是 Kindle Fire 7) 没有将正确的证书包含到操作系统中。它不会 是设备制造商第一次做出奇怪的决定 这会破坏功能。

2. API 正在通过代理访问，实际上 中间人已被正确检测到。

修复 (1) 意味着 bundle 我们的证书，并在我们的证书过期时导致常见问题。

我更愿意让用户安装一个调试版本来确认问题是 (1) 还是 (2)。这样的构建将检查服务器/代理提供的 SSL 证书，并将其记录回给我。

网络框架:

• 改造 v2.3.0
• OkHttp v3.9.1

问题:

如何检查设备在访问我的端点时看到的 SSL 证书信息？

根据 comment from @SangeetSuresh 更新:

原来有 2 个不同的异常被抛出。

Kindle Fire 7"平板电脑(KFAUWI，OS 5.1.1)正在抛出我已经开始调查的那个，这个问题本来是要关注的。即基本的 SSL 故障。

java.security.cert.CertPathValidatorException: 
    Trust anchor for certification path not found.
       at com.android.org.conscrypt.TrustManagerImpl.checkTrusted(TrustManagerImpl.java:331)
       at com.android.org.conscrypt.TrustManagerImpl.checkServerTrusted(TrustManagerImpl.java:232)
       at com.android.org.conscrypt.Platform.checkServerTrusted(Platform.java:114)

LG 设备(LG-SP200，OS 7.1.2)的连接被对方​​关闭，如果此处未解决，应在新问题下解决:

javax.net.ssl.SSLHandshakeException: 
    Connection closed by peer
       at com.android.org.conscrypt.NativeCrypto.SSL_do_handshake(NativeCrypto.java)
       at com.android.org.conscrypt.OpenSSLSocketImpl.startHandshake(OpenSSLSocketImpl.java:360)
       at okhttp3.internal.connection.RealConnection.connectTls(RealConnection.java:299)

最佳答案

Robby Cornelissen 提供的 the basic answer in a comment 引用了 OkHttp Response :

the information should be available from response.handshake().peerCertificates().

实现了一个简单的 Interceptor 来检查证书，给定一个有效的握手:

private static class SslCertificateLogger implements Interceptor {

    public static final String TAG = "SSL";

    @Override
    public Response intercept(Chain chain) throws IOException {
        Request request = chain.request();
        Response response;
        try {
            response = chain.proceed(request);
        } catch (Exception e) {
            Log.d(TAG, "<-- HTTP FAILED: " + e);
            throw e;
        }

        Handshake handshake = response.handshake();
        if (handshake == null) {
            Log.d(TAG, "no handshake");
            return response;
        }


        Log.d(TAG, "handshake success");
        List<Certificate> certificates = handshake.peerCertificates();
        if (certificates == null) {
            Log.d(TAG, "no peer certificates");
            return response;
        }

        String s;
        for (Certificate certificate : certificates) {
            s = certificate.toString();
            Log.d(TAG, s);
        }

        return response;
    }
}

这会按正常方式添加到 OkHttpClient 中:

OkHttpClient.Builder builder = new OkHttpClient.Builder()
        .addInterceptor(new SslCertificateLogger())
        .build();

A similar solution 由 Sangeet Suresh 提出，引用了 Retrofit Response 对象:

response?.raw()?.handshake() I think this will help you

这里的重要信息是 Retrofit 以这种方式提供对原始 OkHttp 响应的访问。

这不会在 Interceptor 中使用，而是在更高级别上使用，在实际的 Retrofit 处理代码中，在从 API 获取 Retrofit Response<> 之后。

将他的 Kotlin 解决方案转换回 Java 可能会产生如下结果:

okhttp3.Response raw = httpResponse.raw();
if (raw != null) {
    Handshake handshake = raw.handshake();
    if (handshake != null) {
        List<Certificate> certificates = handshake.peerCertificates();
        if (certificates != null) {
            for (Certificate certificate : certificates) {
                Log.d(TAG, certificate.toString());
            }
        }
    }
}

如果 handshake() 不为空，即当握手成功时，这两种解决方案都可以正常工作。

鉴于这是对失败握手的调查，需要进一步的步骤来“信任所有证书”(仅限 NB 调试版本!)。

这已被多次记录 - 这是一个这样的版本:

• Unsafe SSL Client (do not do this in production)

关于android - 以编程方式记录 SSL 证书，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/52254272/