Google Play提示‘TrustManager实现不安全’求正确实现方案

你的代码核心问题在于自定义的HttpsTrustManager完全绕过了SSL证书校验：

• checkClientTrusted和checkServerTrusted方法是空实现，不做任何证书合法性校验
• isServerTrusted直接返回true，意味着信任任何服务器证书
  这种实现会让应用完全暴露在中间人攻击风险中，这就是Google Play发出警告的原因。

下面是两种正确的实现方案，根据你的实际场景选择：

方案一：使用系统默认TrustManager（推荐，适用于正规CA签发的证书） #

如果你的服务器使用的是受信任CA签发的证书，不需要自定义TrustManager，只保留HostnameVerifier即可，系统默认的TrustManager会自动完成证书合法性校验。

public class SSLUtils {
    public static void setupCustomSSL() {
        // 设置HostnameVerifier，仅允许指定域名
        HttpsURLConnection.setDefaultHostnameVerifier((hostname, session) -> {
            // 可根据需求调整匹配逻辑，比如支持子域名用endsWith
            return "MyHostname.in".equals(hostname);
        });

        // 无需自定义TrustManager，使用系统默认SSL上下文即可
        // 系统会自动调用内置CA证书库校验服务器证书
    }
}

方案二：适配自签名证书（服务器使用自签名证书时） #

如果你的服务器使用自签名证书，需要将证书打包到应用中，并创建仅信任该证书的TrustManager：

步骤1：准备证书 #

将自签名的.crt或.pem格式证书放到app/src/main/assets目录下。

步骤2：实现SSL配置代码 #

import android.content.Context;
import java.io.InputStream;
import java.security.KeyStore;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import javax.net.ssl.HttpsURLConnection;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;
import javax.net.ssl.X509TrustManager;

public class SSLUtils {
    public static void setupCustomSSL(Context context) {
        try {
            // 加载assets中的自签名证书
            CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
            InputStream certStream = context.getAssets().open("my_server_cert.crt");
            X509Certificate serverCert = (X509Certificate) certFactory.generateCertificate(certStream);
            certStream.close();

            // 创建KeyStore并添加证书
            KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
            keyStore.load(null, null);
            keyStore.setCertificateEntry("trusted_server_cert", serverCert);

            // 初始化TrustManagerFactory，基于自定义KeyStore
            TrustManagerFactory tmFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
            tmFactory.init(keyStore);

            // 获取自定义TrustManager
            X509TrustManager trustManager = (X509TrustManager) tmFactory.getTrustManagers()[0];

            // 创建并初始化SSLContext
            SSLContext sslContext = SSLContext.getInstance("TLS");
            sslContext.init(null, new X509TrustManager[]{trustManager}, new java.security.SecureRandom());

            // 设置默认SSLSocketFactory和HostnameVerifier
            HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());
            HttpsURLConnection.setDefaultHostnameVerifier((hostname, session) -> {
                return "MyHostname.in".equals(hostname);
            });
        } catch (Exception e) {
            // 不要忽略异常，至少打印日志或抛出异常，避免静默失败
            e.printStackTrace();
            throw new RuntimeException("SSL配置初始化失败", e);
        }
    }
}

关键注意事项 #

• 绝对不要使用空校验方法或直接返回true的TrustManager实现，这会彻底破坏SSL安全机制
• 异常处理不能直接忽略，必须捕获并处理，防止出现隐藏的配置失败问题
• 修复完成后，重新打包应用并上传到Google Play即可解除警告

内容的提问来源于stack exchange，提问作者Pankaj Surana