Expo本地构建APK安卓端SSL/TLS证书信任及局域网连接问题

针对你遇到的java.security.cert.CertPathValidatorException: Trust anchor for certification path not found错误，核心原因是安卓应用默认仅信任系统预装的CA证书，自签名/自定义CA证书即使安装到设备，也不会被Expo打包的APK自动识别。以下是几种适配局域网环境的解决方案：

方案1：将自定义CA证书嵌入应用（推荐） #

把CA证书打包进应用，无需依赖设备证书安装，适合内部固定环境使用：

• 将你的根CA证书（格式为.pem）放到项目的assets/certs目录（无则新建），并重命名为root_ca.pem
• 在app.json或app.config.js中添加安卓网络安全配置：

  "android": {
    "package": "com.your.app.id",
    "networkSecurityConfig": {
      "domainConfigs": [
        {
          "domain": "ip-of-proxy", // 替换为你的代理IP/域名
          "trustAnchors": [
            {
              "certificates": ["@raw/root_ca"]
            }
          ]
        }
      ]
    }
  }
  

• 执行eas build --platform android重新构建APK

方案2：配置应用信任设备安装的用户证书 #

如果需要在多设备复用同一证书，可让应用信任设备上安装的用户证书：

• 在安卓设备上安装根CA证书：进入「设置」→「安全」→「加密与凭据」→「安装证书」→选择CA证书完成安装
• 在app.json中添加配置，让应用同时信任系统和用户证书：

  "android": {
    "package": "com.your.app.id",
    "networkSecurityConfig": {
      "domainConfigs": [
        {
          "domain": "ip-of-proxy",
          "trustAnchors": [
            {
              "certificates": ["system"],
              "userCertificates": true
            }
          ]
        }
      ]
    }
  }
  

• 重新构建APK即可

方案3：临时禁用证书验证（仅测试场景） #

若局域网环境完全可控、无安全风险，可跳过证书验证：

• 在app.json中配置允许目标域名的所有证书：

  "android": {
    "package": "com.your.app.id",
    "networkSecurityConfig": {
      "domainConfigs": [
        {
          "domain": "ip-of-proxy",
          "trustAnchors": [
            {
              "certificates": ["*"]
            }
          ]
        }
      ]
    }
  }
  

• 注意：此方案会降低连接安全性，仅用于临时测试或内部封闭环境

补充说明 #

Linux、Windows、Python等客户端默认会识别用户安装的证书，或支持手动指定证书路径，因此能正常连接；而安卓应用出于安全考虑，默认仅信任系统预装CA，必须通过网络安全配置显式声明信任自定义证书。

内容的提问来源于stack exchange，提问作者Tom