REST Web 服务的 SSL 证书（由 Android 使用）？答案

【问题标题】：SSL certificate for REST web services (used by Android)?REST Web 服务的 SSL 证书（由 Android 使用）？
【发布时间】：2012-02-21 21:17:56
【问题描述】：

我有一个网站，其中包含许多供 Android 应用使用的 RESTful Web 服务。我想让所有请求都通过HTTPS。因此，我的网站需要 SSL 证书。

问：在这种情况下我需要购买 SSL 证书还是可以使用自签名证书？（我不想把钱浪费在我不需要的东西上。）

我能想到这些方法：

【问题讨论】：

【解决方案1】：

如果您最关心的不是花钱，http://www.startssl.com/ 提供一年的免费基本 SSL 证书，那么这可能值得研究。我不知道默认情况下 Android 中哪些 CA 是受信任的，因此从应用程序的角度来看，它可能实际上与自签名证书相同。

使用自签名证书需要找到一种方法来确保 Android 应用期望自签名证书，并且不仅信任您的初始证书，而且信任未来的任何替换证书。尽管我对 Android 开发或有问题的应用了解不多，但我怀疑这比它的价值更麻烦，所以我可能高估了所涉及的困难。

EV 证书确实为客户提供了更强有力的保证，即该服务实际上是您的服务并归您所有，但它确实会产生额外费用。选择 EV 与 DV 证书更像是一种风险/回报判断。顺便说一句，我通常只在金融网站和其他您通常期望找到高安全标准的网站上看到 EV 证书。

【讨论】：

那么自签名证书可能会导致 HTTPS API 出现问题？我想 DV 证书是要走的路，因为我只想避免半敏感信息以纯文本形式在网络上发送。
还有一件事！如果网络酒店使用共享主机怎么办？这是否意味着我不能使用自定义 SSL 证书？
在标准 SSL 通信中，客户端应用程序不知道是否可以信任自签名证书。您需要提前向客户端应用程序提供证书，并在此端将其标记为受信任。如果您控制可能是一个选项的客户端应用程序，但是我不知道您作为应用程序开发人员是否有足够的访问权限来让 Android 设备信任您的证书。长话短说，是的，DV 证书可能是最好的。
不确定网络酒店到底是什么，但您应该可以使用任何标准的 DV 或 EV 证书。如果您有多台机器同时托管您的站点或有上游缓存，则有时需要在服务器端进行特殊配置。但是，使用大多数标准 Web 部署进行设置通常非常简单。
重新阅读您的第二条评论我想我明白您的意思了。如果您有共享托管服务提供商，那么是的，您可能需要与他们合作以获取您的 SSL 证书。一些网络主机处理 SSL 证书设置的方式与其他网络主机不同，有些可能仅支持有限数量的配置（可能会限制您的选择）。