OkHttp+Cronet/纯Cronet无法使用QUIC-HTTP/3协议问题排查

一、OkHttp+Cronet方案的遗漏配置及修复 #

你当前的OkHttp+Cronet配置缺少几个关键项，导致无法协商使用HTTP/3，以下是具体修复点：

1. 显式开启Cronet的HTTP/3支持 #

QUIC是传输层协议，HTTP/3是基于QUIC的应用层协议，Cronet需要单独开启HTTP/3支持，修改getCronetEngine方法：

fun getCronetEngine(): CronetEngine {
    cronetEngine?.let { return it }

    CronetProviderInstaller.installProvider(applicationContext)

    cronetEngine = CronetEngine.Builder(applicationContext)
        .enableHttpCache(CronetEngine.Builder.HTTP_CACHE_DISK, 10 * 1024 * 1024)
        .enableQuic(true)
        .enableHttp3(true) // 新增：显式启用HTTP/3
        .addQuicHint("www.google.com", 443, 443) // 新增：添加目标站点的QUIC端口提示
        .addQuicHint("quic.nginx.com", 443, 443)
        .build()

    return cronetEngine!!
}

2. 调整OkHttp拦截器类型与协议顺序 #

• 将Cronet拦截器作为网络拦截器添加（而非普通应用拦截器），确保它能完全接管网络请求流程
• 调整协议列表优先级，将HTTP/3相关协议放在最前面

val okHttpClient = try {
    OkHttpClient.Builder()
        .addNetworkInterceptor(CronetInterceptor.newBuilder(cronetEngine).build()) // 改用addNetworkInterceptor
        .protocols(listOf(Protocol.QUIC, Protocol.HTTP_2, Protocol.HTTP_1_1)) // 保持QUIC优先级最高
        .build()
} catch (e: IllegalArgumentException) {
    return Pair("ERROR: ${e.message}", "")
}

3. 升级Cronet拦截器版本 #

你使用的0.1.0版本的Cronet拦截器过于陈旧，存在HTTP/3兼容性问题，建议升级到与OkHttp 4.12.0匹配的最新版本（如0.2.0及以上），确保依赖库版本对齐。

4. 请求头添加Alt-Svc提示 #

在Request中添加Alt-Svc头，主动告知服务器客户端支持HTTP/3：

val request = Request.Builder()
    .url(url)
    .get()
    .addHeader("Alt-Svc", "h3=\":443\"; ma=86400") // 新增：声明支持HTTP/3
    .build()

二、QUIC流量解密方案 #

针对QUIC流量解密，提供以下可行方案：

1. 利用Cronet内置密钥日志导出 #

Cronet支持导出SSL会话密钥，可直接用于Wireshark解密：

• 在CronetEngine构建时开启密钥日志：

cronetEngine = CronetEngine.Builder(applicationContext)
    // ... 其他配置
    .setQuicOptions(CronetEngine.QuicOptions.Builder()
        .setEnableKeyLogging(true)
        .build())
    .build()

• 在代码中设置密钥日志文件路径：

System.setProperty("SSLKEYLOGFILE", "/sdcard/sslkeylog.log")

• 将设备上的sslkeylog.log导出到电脑，打开Wireshark后进入：编辑 > 首选项 > 协议 > TLS，在（Pre)-Master-Secret log filename中选择该文件，即可解密捕获到的QUIC流量。

2. 修复friTap的使用问题 #

如果坚持使用friTap，需确保以下几点：

• 设备已root，且frida-server版本与Android系统版本完全匹配
• 启动friTap时指定你的APP进程名：python3 fritap.py -U --process com.your.app.package
• 确保friTap的脚本正确Hook了Cronet的SSL密钥生成函数，可尝试更新friTap到最新版本。

3. Android VPN捕获+密钥导出 #

使用VPN类应用（如Packet Capture）捕获设备流量，同时通过上述Cronet密钥日志方法导出密钥，再用Wireshark加载密钥解密流量，这种方式无需root权限。

内容的提问来源于stack exchange，提问作者josemariafr-upm