网络安全配置不适用于第三方 API

Question

自从我更新我的应用程序以使用网络安全配置后，我的应用程序收到了 SSLHandshakeException。

应用程序向两台服务器发出请求。其中之一是只能在我的公司网络中访问的开发服务器。另一个是运行 ArcGIS Server 的公共服务器。该域能够通过 TLS 1.2 进行通信。

所以，我希望只要向我的私人开发服务器添加一条规则，一切都会正常进行。这是我的网络安全配置的内容：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config xmlns:android="http://schemas.android.com/apk/res/android">
    <domain-config cleartextTrafficPermitted="true">
        <domain includeSubdomains="true">172.17.1.14</domain>
    </domain-config>
</network-security-config>

很遗憾，对我的公共服务器的任何请求（使用服务器制造商的第三方 API）都会导致以下异常：

Caused by: java.security.cert.CertificateException: Domain specific configurations require that hostname aware checkServerTrusted(X509Certificate[], String, String) is used
        at android.security.net.config.RootTrustManager.checkServerTrusted(RootTrustManager.java:111)
        at com.esri.arcgisruntime.internal.e.a.a.checkServerTrusted(SourceFile:161)
        at com.android.org.conscrypt.Platform.checkServerTrusted(Platform.java:212)
        at com.android.org.conscrypt.ConscryptFileDescriptorSocket.verifyCertificateChain(ConscryptFileDescriptorSocket.java:404)
        at com.android.org.conscrypt.NativeCrypto.SSL_do_handshake(Native Method)
        at com.android.org.conscrypt.NativeSsl.doHandshake(NativeSsl.java:375)
        at com.android.org.conscrypt.ConscryptFileDescriptorSocket.startHandshake(ConscryptFileDescriptorSocket.java:224)

由于我的公共服务器具有有效证书并且支持 TLS 1.2，因此不会发生这种情况，对吧？

以下网络安全配置工作正常，但不安全：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config xmlns:android="http://schemas.android.com/apk/res/android">
    <base-config cleartextTrafficPermitted="true">
        <trust-anchors>
            <certificates src="system" />
        </trust-anchors>
    </base-config>
</network-security-config>

我上瘾了，我读到 Facebook 的 Audience Network Android SDK 也遇到了网络安全配置问题，因为它们在 localhost 缓存文件。我尝试过他们提出的相同解决方案，但也没有用：https://developers.facebook.com/docs/audience-network/android-network-security-config/

我做错了什么？嗅探模拟器网络没有显示任何超出预期的请求。

Answer 1

我也遇到过类似的问题。经过一番调查，我在 Github 上发现了一个问题，其中详细描述了为什么会发生此问题：https://github.com/microsoft/cpprestsdk/issues/1313 简而言之，它是 Android 框架的一种新行为。如果您的网络配置包含任何 X509TrustManager 中调用 checkServerTrusted(X509Certificate[] certs, String authType)，Framework 会抛出 CertificateException。因此，您应该使用X509TrustManagerExtensions 并在签名中使用主机名调用方法。