部分Android设备API调用出现SSL握手异常求助

SSLV3_ALERT_CLOSE_NOTIFY错误发生在TLS握手阶段，本质是服务器在握手未完成时主动终止连接。结合你提供的环境（Let's Encrypt证书、TLSv1.3协议、基于java.net.HttpURLConnection的请求），核心诱因是部分Android设备的原生SSL栈对TLSv1.3协议或Let's Encrypt根证书的支持存在兼容性问题，覆盖不同设备和Android版本的10%用户也印证了这一点。

1. 兼容旧设备的TLS协议配置 #

Android 10（API 29）及以上才原生支持TLSv1.3，更低版本设备依赖系统补丁或第三方SSL库（如Conscrypt），但大量旧设备未获得更新。建议强制客户端优先使用TLSv1.2，同时保留TLSv1.3作为高版本设备的可选协议：

// 全局配置HttpURLConnection的SSL协议
SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(null, null, null);
HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());

// 或针对单个连接配置多协议支持
HttpsURLConnection connection = (HttpsURLConnection) new URL(apiUrl).openConnection();
SSLParameters params = new SSLParameters();
params.setProtocols(new String[]{"TLSv1.2", "TLSv1.3"});
connection.setSSLParameters(params);

2. 补充Let's Encrypt根证书信任链 #

Android 7.1（API 25）及以下版本未预装Let's Encrypt的ISRG Root X1根证书，导致证书验证失败，服务器主动关闭连接。将根证书打包到App assets目录，自定义TrustManager实现信任：

// 从assets读取ISRG Root X1证书（提前下载.pem格式证书放入assets）
InputStream certStream = getApplicationContext().getAssets().open("isrgrootx1.pem");
CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
X509Certificate rootCert = (X509Certificate) certFactory.generateCertificate(certStream);

// 构建自定义信任存储
KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
keyStore.load(null);
keyStore.setCertificateEntry("isrg_root_x1", rootCert);

TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(keyStore);

// 配置SSLContext并全局设置
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, tmf.getTrustManagers(), new SecureRandom());
HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());

3. 修复Conscrypt兼容性问题 #

堆栈中出现ConscryptEngine，部分设备集成的Conscrypt版本存在TLSv1.3握手bug。可以强制使用系统默认SSL栈，或升级App内集成的Conscrypt版本（若手动引入）：

// 强制使用系统原生SSL栈，规避Conscrypt的问题
System.setProperty("javax.net.ssl.trustStoreType", "AndroidCAStore");

4. 添加握手重试机制 #

网络波动、服务器负载过高也可能导致握手中断，给请求添加指数退避重试逻辑：

int maxRetries = 3;
int retryCount = 0;
boolean requestSuccess = false;
while (!requestSuccess && retryCount < maxRetries) {
    try {
        // 执行HttpURLConnection请求逻辑
        HttpsURLConnection connection = (HttpsURLConnection) new URL(apiUrl).openConnection();
        // ... 配置请求参数、读取响应
        int responseCode = connection.getResponseCode();
        requestSuccess = responseCode >= 200 && responseCode < 300;
    } catch (SSLProtocolException e) {
        retryCount++;
        try {
            Thread.sleep((long) Math.pow(2, retryCount) * 1000); // 指数退避等待
        } catch (InterruptedException ie) {
            Thread.currentThread().interrupt();
        }
    }
}

5. 服务器端配置优化 #

• 确保服务器配置了完整的证书链（包含Let's Encrypt的中间证书，避免旧设备无法链式验证）
• 保留TLSv1.2作为兼容协议，仅对支持的客户端启用TLSv1.3
• 禁用过时的SSL协议（SSLv3、TLSv1.0、TLSv1.1），只保留TLSv1.2和TLSv1.3
• 检查服务器加密套件配置，移除旧设备不支持的TLSv1.3专属套件

内容的提问来源于stack exchange，提问作者jrola