在Flutter Android应用中如何使用自定义根CA证书？

云原生阿岚

2026-6-17

解决Flutter HttpClient无法识别Android用户自定义根CA的问题

问题核心原因

Flutter自带的HttpClient基于Dart的IO实现，并未直接对接Android系统的信任库（包括用户手动添加的CA证书），而是依赖Dart自身维护的根证书集合。这就是为什么原生Java请求能正常验证，但Flutter会抛出CERTIFICATE_VERIFY_FAILED的根本原因。

可行解决方案

方案1：复用原生网络请求能力

既然原生Java代码已经能正常处理用户CA，直接通过MethodChannel调用原生网络请求逻辑是最快捷的方案：

在Android端编写封装好的网络请求方法（用OkHttp或HttpURLConnection实现均可）
通过Flutter的MethodChannel将请求参数传递到原生，执行请求后返回结果到Flutter端

示例伪代码：
Flutter端：

final channel = MethodChannel('com.example/network');
try {
  final response = await channel.invokeMethod('get', {'url': yourUrl});
  // 处理返回结果
} on PlatformException catch (e) {
  // 处理错误
}

Android端（Kotlin）：

class MainActivity : FlutterActivity() {
  private val CHANNEL = "com.example/network"
  override fun configureFlutterEngine(flutterEngine: FlutterEngine) {
    super.configureFlutterEngine(flutterEngine)
    MethodChannel(flutterEngine.dartExecutor.binaryMessenger, CHANNEL).setMethodCallHandler { call, result ->
      if (call.method == "get") {
        val url = call.argument<String>("url") ?: run {
          result.error("INVALID_URL", "URL不能为空", null)
          return@setMethodCallHandler
        }
        // 用原生HttpURLConnection发起请求
        Thread {
          try {
            val conn = URL(url).openConnection() as HttpURLConnection
            conn.requestMethod = "GET"
            val responseCode = conn.responseCode
            val responseBody = conn.inputStream.bufferedReader().readText()
            runOnUiThread {
              result.success(mapOf("code" to responseCode, "body" to responseBody))
            }
          } catch (e: Exception) {
            runOnUiThread {
              result.error("REQUEST_FAILED", e.message, null)
            }
          }
        }.start()
      } else {
        result.notImplemented()
      }
    }
  }
}

方案2：从Android系统读取用户CA并注入Dart SecurityContext

通过原生代码读取Android系统中用户添加的CA证书，再传递给Flutter注入到SecurityContext中，实现Flutter HttpClient信任该证书：

Android端读取用户CA证书
Android系统的用户证书存储在AndroidCAStore这个KeyStore中，通过以下代码可以获取所有用户添加的CA证书：

fun getUserCerts(): List<ByteArray> {
  val certs = mutableListOf<ByteArray>()
  try {
    val keyStore = KeyStore.getInstance("AndroidCAStore")
    keyStore.load(null)
    val enumeration = keyStore.aliases()
    while (enumeration.hasMoreElements()) {
      val alias = enumeration.nextElement()
      val cert = keyStore.getCertificate(alias) as X509Certificate
      // 判断是否为用户添加的证书（用户证书的主体/颁发者通常包含USER标识）
      if (cert.subjectDN.name.contains("USER") || cert.issuerDN.name.contains("USER")) {
        certs.add(cert.encoded)
      }
    }
  } catch (e: Exception) {
    e.printStackTrace()
  }
  return certs
}

通过MethodChannel传递证书字节流到Flutter
在Flutter端接收证书字节后，注入到SecurityContext：

final channel = MethodChannel('com.example/certs');
final List<Uint8List> certBytesList = await channel.invokeMethod('getUserCerts');

final securityContext = SecurityContext();
for (var bytes in certBytesList) {
  securityContext.setTrustedCertificatesBytes(bytes);
}

HttpClient client = HttpClient(context: securityContext);
// 后续发起请求

方案3：使用第三方HTTP库（可选）

部分第三方HTTP库（如Dio）支持自定义HttpClient配置，本质上还是基于方案2的思路，但可能提供更简洁的封装。例如在Dio中可以直接设置自定义的HttpClientAdapter，将注入了用户CA的SecurityContext传入。

补充说明

不要依赖SecurityContext.defaultContext或withTrustedRoots: true，因为它们只会加载Dart内置的根证书，不会读取Android系统的用户CA。
方案1无需处理证书逻辑，适合快速解决问题；方案2更贴近Flutter原生HttpClient的使用场景，但需要处理证书读取和传递的逻辑。

内容的提问来源于stack exchange，提问作者user8472