Flutter开发环境HTTPS请求正常，Google Play内部测试失败

可能的原因及对应配置调整 #

1. Google Play应用签名导致证书验证失败 #

Google Play默认会替换你上传的密钥，生成官方的应用签名密钥。如果你的服务器配置了证书锁定（只信任特定证书的请求），或者服务器端白名单仅添加了本地调试/上传密钥的SHA值，就会触发HTTPS验证失败。

• 解决：登录Google Play Console，进入「应用签名」页面，获取应用签名证书的SHA-1/SHA-256指纹，将其添加到服务器的信任列表或证书锁定配置中。

2. 网络安全配置未适配发布环境 #

Android debug模式下默认允许绕过部分HTTPS证书验证，但release包会启用严格的网络安全策略。如果你的服务器证书是自签名、未被系统信任，或者域名与证书不匹配，都会被拦截。

• 解决：在android/app/src/main/res/xml/network_security_config.xml中配置信任规则：
  • 若使用合法CA颁发的证书，确保配置中没有错误拦截规则，可添加：

    <?xml version="1.0" encoding="utf-8"?>
    <network-security-config>
        <base-config cleartextTrafficPermitted="false">
            <trust-anchors>
                <certificates src="system" />
            </trust-anchors>
        </base-config>
    </network-security-config>
    

  • 若使用自签名证书，需将证书文件放入res/raw目录，然后在配置中添加：

    <trust-anchors>
        <certificates src="@raw/your_certificate" />
        <certificates src="system" />
    </trust-anchors>
    

  同时在AndroidManifest.xml的<application>标签中添加android:networkSecurityConfig="@xml/network_security_config"。

3. ProGuard/R8混淆破坏HTTP客户端逻辑 #

Flutter的HTTP客户端（如dart:io的HttpClient、dio、http包）可能被混淆工具误处理，导致请求逻辑失效。

• 解决：在android/app/proguard-rules.pro中添加针对性的混淆规则，示例：

  # 保留Flutter核心类
  -keep class io.flutter.** { *; }
  -keep class io.flutter.plugins.** { *; }
  
  # 若使用dio
  -keep class com.dio.** { *; }
  -keepattributes Signature
  -keepattributes *Annotation*
  
  # 保留你的业务请求类
  -keep class com.yourpackage.network.** { *; }
  

4. Release模式下HTTPS请求的调试逻辑缺失 #

Debug模式下你可能添加了忽略证书错误的代码（如HttpClient.badCertificateCallback），但Release模式下未处理合法的证书验证，导致请求失败。

• 解决：移除Debug模式下的证书忽略逻辑，修复服务器证书的合法性问题；若必须信任特定自签名证书，需在Release模式下针对性配置证书信任，而非全局忽略。

5. 测试分发渠道的环境差异 #

部分情况下，Google Play内部测试的分发包可能存在代理或环境限制，可尝试将AAB导出为APK（使用flutter build apk --release），直接安装到设备测试，排除渠道问题。

是否需要提供更多信息？ #

是的，以下信息能帮助更快定位问题：

• 应用内捕获的HTTPS请求错误日志（如状态码、错误信息）
• 网络安全配置文件的完整内容
• 使用的HTTP客户端类型（dart:io/dio/http等）
• Google Play应用签名的启用状态（是否使用了官方签名）

内容的提问来源于stack exchange，提问作者Michael Antonio