Android低版本（4、5）出现CertPathValidatorException信任锚缺失问题

调用API时触发该异常，仅在Android 4.4.4（KitKat）等4、5低版本系统中出现，相同API在高版本Android系统可正常运行，核心原因是低版本系统的证书信任机制、TLS协议支持和高版本存在差异，以下是具体解决方法：

一、手动导入信任CA证书 #

低版本Android系统的内置信任根证书库不包含部分新CA的证书，导致无法验证服务器证书。可以将服务器对应的CA证书打包到应用中，自定义信任管理器完成验证：

1. 将CA证书（.crt或.pem格式）放入res/raw目录
2. 实现自定义TrustManager：

private TrustManager[] getCustomTrustManagers(Context context) throws CertificateException, IOException, NoSuchAlgorithmException, KeyStoreException {
    CertificateFactory cf = CertificateFactory.getInstance("X.509");
    InputStream certInputStream = context.getResources().openRawResource(R.raw.your_ca_cert_file);
    Certificate ca;
    try {
        ca = cf.generateCertificate(certInputStream);
    } finally {
        certInputStream.close();
    }

    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
    keyStore.load(null, null);
    keyStore.setCertificateEntry("custom_ca", ca);

    TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    tmf.init(keyStore);
    return tmf.getTrustManagers();
}

3. 在网络请求框架中应用该TrustManager（以OkHttp为例）：

OkHttpClient.Builder clientBuilder = new OkHttpClient.Builder();
try {
    SSLContext sslContext = SSLContext.getInstance("TLS");
    TrustManager[] trustManagers = getCustomTrustManagers(context);
    sslContext.init(null, trustManagers, new SecureRandom());
    clientBuilder.sslSocketFactory(sslContext.getSocketFactory(), (X509TrustManager) trustManagers[0]);
} catch (Exception e) {
    e.printStackTrace();
}
OkHttpClient client = clientBuilder.build();

二、启用TLS 1.1/1.2支持 #

Android 4.4默认仅启用TLS 1.0，而多数现代服务器已禁用该协议版本，需强制应用使用更高版本的TLS：

• OkHttp 3.x+配置：

ConnectionSpec tlsSpec = new ConnectionSpec.Builder(ConnectionSpec.MODERN_TLS)
        .tlsVersions(TlsVersion.TLS_1_2, TlsVersion.TLS_1_1)
        .build();
OkHttpClient client = new OkHttpClient.Builder()
        .connectionSpecs(Collections.singletonList(tlsSpec))
        .build();

• HttpURLConnection配置：

try {
    SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
    sslContext.init(null, null, new SecureRandom());
    HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());
} catch (NoSuchAlgorithmException | KeyManagementException e) {
    e.printStackTrace();
}

注：Android 4.4系统本身支持TLS 1.1和1.2，但默认未开启，需通过代码手动启用。

三、检查服务器证书链完整性 #

低版本Android系统无法自动补全缺失的中间证书，需确保服务器返回的证书链包含从服务器证书到根CA的所有层级证书，避免因证书链不完整导致验证失败。

内容的提问来源于stack exchange，提问作者sharsad k k