Android模拟器无法连接本地Docker后端：HttpException错误

问题背景 #

我们基于Flutter开发应用，后端采用Docker Compose部署Django+Nginx架构，用mkcert生成本地CA颁发的SSL证书。目前iOS模拟器访问本地后端完全正常，但Android模拟器使用10.0.2.2作为后端地址时，出现HttpException: Connection closed before full header was received错误，Nginx容器日志显示worker process 24 exited on signal 4。而Android模拟器访问真实后端服务器、物理设备访问真实后端均无问题。

解决方案 #

1. 修正证书与Host匹配问题 #

Android模拟器用10.0.2.2访问时，当前证书和Nginx配置未包含该地址，导致SSL握手失败：

• 重新生成包含10.0.2.2的证书：

  mkcert localhost 127.0.0.1 0.0.0.0 10.0.2.2
  

• 更新Nginx配置的server_name字段：

  server_name localhost 0.0.0.0 127.0.0.1 10.0.2.2;
  

• 替换Docker容器内的证书文件，重启Nginx和后端容器。

2. 让Android模拟器信任本地CA证书 #

Android默认不信任mkcert生成的本地CA，需手动安装：

1. 执行mkcert -CAROOT找到根证书路径
2. 将根证书文件（通常为rootCA.pem）重命名为rootCA.crt
3. 通过adb推送到模拟器：adb push rootCA.crt /sdcard/
4. 在模拟器「设置」→「安全」→「加密与凭据」→「安装证书」→「CA证书」，选择推送的文件完成安装
5. 安装后可尝试移除Flutter代码中手动加载证书的逻辑，使用默认SecurityContext

3. 优化Nginx SSL兼容性配置 #

Android的SSL栈对部分加密套件支持有限，调整Nginx配置：

server {
  listen 443 ssl;
  listen [::]:443;

  server_name localhost 0.0.0.0 127.0.0.1 10.0.2.2;
  ssl_certificate     /etc/nginx/certs/fullchain.pem;
  ssl_certificate_key /etc/nginx/certs/privkey.pem;
  
  # 添加Android兼容的SSL参数
  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
  ssl_prefer_server_ciphers off;

  proxy_set_header Host $host;
  proxy_set_header X-Forwarded-For $remote_addr;

  location / {
      proxy_pass http://moreRandomName:8000/;
  }
}

重启Nginx容器后重试请求。

4. 验证Docker网络与端口映射 #

• 确认Docker Compose中Nginx的443端口已正确映射到宿主机：

  services:
    nginx:
      ports:
        - "443:443"
        - "80:80"
  

• 在宿主机执行curl https://10.0.2.2/auth/测试，确认后端本身能正常响应。

5. 调整Flutter请求细节 #

• 手动指定Host头，确保Nginx匹配正确的server块：

  request = await client.getUrl(Uri.https(backendURL, endpointPath));
  request.headers.add('Host', '10.0.2.2'); // 对应证书包含的地址
  

• 开发环境临时禁用证书验证（仅用于排查问题）：

  securityContext.setTrustedCertificatesBytes(certs.buffer.asUint8List());
  securityContext.allowLegacyUnsafeRenegotiation = true;
  client.badCertificateCallback = (X509Certificate cert, String host, int port) => true;
  

  如果此方式能正常请求，说明核心问题仍在证书信任或Host匹配。

内容的提问来源于stack exchange，提问作者Jonas Roßkamp