Android对接Philips Hue Bridge的SSL证书配置问题排查

背景 #

本人是Kotlin及Android开发新手，对SSL/TLS、CA证书完全不了解，目标是开发一款可通过互联网与Philips Hue Bridge通信的应用。测试阶段禁用SSL验证可正常调用API，但配置证书后出现主机名验证失败错误。

API请求示例（关闭灯光） #

• 请求地址：https://192.168.100.8/clip/v2/resource/light/1c39aeb9-acee-4927-9450-bdb74e9ff5ba
• 请求头：hue-application-key: gy5WelPhUBgxIR0HtZy-KVLU9QB7jaFeJIvE9WkZ
• 请求体：

{"on": {"on": false}}

错误信息 #

Exception: javax.net.ssl.SSLPeerUnverifiedException: Hostname 192.168.100.8 not verified: certificate: sha256/B+owkWAiYKkuAJ9dkuxu8IHl/mrQMHWyFfUoy+Nue3E= DN: CN=ecb5fafffe831568,O=Philips Hue,C=NL subjectAltNames: []

已尝试的操作 #

• 使用Philips Hue开发者页面提供的CA证书
• 通过openssl s_client -showcerts -connect 192.168.100.8:443命令获取证书并配置
• 相关代码文件：PhilipsHueAPI.kt、RetrofitInstance.kt、MainActivity.kt

解决方法 #

错误原因 #

Hue Bridge的SSL证书未包含主题备用名称（SAN），证书的通用名称（CN）是Bridge的唯一ID（ecb5fafffe831568）而非访问的IP地址，Android默认的SSL主机名验证逻辑会因此拒绝证书，认为主机名不匹配。

具体步骤 #

1. 导出并导入Hue Bridge根证书

从openssl s_client -showcerts -connect 192.168.100.8:443的输出中，复制最后一个证书块（从-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----的全部内容），保存为hue_root.cer文件，放到Android项目的res/raw目录下。

2. 自定义信任管理器加载证书

在RetrofitInstance.kt中添加加载证书的方法：

private fun getHueTrustManager(context: Context): X509TrustManager {
    val certFactory = CertificateFactory.getInstance("X.509")
    val inputStream = context.resources.openRawResource(R.raw.hue_root)
    val hueCert = certFactory.generateCertificate(inputStream) as X509Certificate

    val keyStore = KeyStore.getInstance(KeyStore.getDefaultType()).apply {
        load(null, null)
        setCertificateEntry("hue_root", hueCert)
    }

    val trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm()).apply {
        init(keyStore)
    }

    return trustManagerFactory.trustManagers.first() as X509TrustManager
}

3. 配置OkHttpClient自定义SSL和主机名验证

创建OkHttpClient时，指定自定义的SSL上下文和主机名验证器：

val context = applicationContext // 替换成你的上下文对象
val trustManager = getHueTrustManager(context)
val sslContext = SSLContext.getInstance("TLS").apply {
    init(null, arrayOf(trustManager), SecureRandom())
}

val okHttpClient = OkHttpClient.Builder()
    .sslSocketFactory(sslContext.socketFactory, trustManager)
    .hostnameVerifier { hostname, session ->
        // 验证逻辑：要么匹配访问的IP，要么匹配证书的CN（Bridge的唯一ID）
        val peerCert = session.peerCertificates.first() as X509Certificate
        val certCN = peerCert.subjectX500Principal.name.split("CN=")[1].split(",")[0]
        
        hostname == "192.168.100.8" || certCN == "ecb5fafffe831568"
    }
    .build()

4. 关联Retrofit与自定义OkHttpClient

val retrofit = Retrofit.Builder()
    .baseUrl("https://192.168.100.8/")
    .client(okHttpClient)
    .addConverterFactory(GsonConverterFactory.create())
    .build()

注意事项 #

• 生产环境建议先通过Hue API获取Bridge的唯一ID，再动态验证证书CN，避免硬编码IP或ID
• 不要在生产环境中完全禁用主机名验证，会导致安全风险

内容的提问来源于stack exchange，提问作者Klusio19