Android Wi-Fi企业网络连接报错：需启用服务器证书验证

我正尝试在Android上使用WifiManager连接企业Wi-Fi网络，相关代码如下：

@RequiresApi(api = 29)
public static boolean connectToEnterprise(Context context, String ssid, String identity, String password) {
    WifiManager wifiManager = (WifiManager) context.getSystemService(Context.WIFI_SERVICE);

    WifiEnterpriseConfig enterpriseConfig = new WifiEnterpriseConfig();
    enterpriseConfig.setEapMethod(WifiEnterpriseConfig.Eap.PEAP);
    enterpriseConfig.setPhase2Method(WifiEnterpriseConfig.Phase2.MSCHAPV2);
    enterpriseConfig.setIdentity(identity);
    enterpriseConfig.setPassword(password);
    enterpriseConfig.setCaCertificate(null);


    WifiNetworkSuggestion.Builder builder = new WifiNetworkSuggestion.Builder();
    builder.setSsid(ssid);
    builder.setWpa2EnterpriseConfig(enterpriseConfig);

    List<WifiNetworkSuggestion> wifiSuggestionsList = new ArrayList<>();
    wifiSuggestionsList.add(builder.build());

    int result = wifiManager.addNetworkSuggestions(wifiSuggestionsList);

    if (result == WifiManager.STATUS_NETWORK_SUGGESTIONS_SUCCESS) {
        return true;
    } else {
        return false;
    }

}

运行时抛出如下错误：

java.lang.IllegalArgumentException: Enterprise configuration mandates server certificate but validation is not enabled.

原本预期能成功连接Wi-Fi网络，但不清楚该如何提供服务器证书。

解决方案 #

错误原因是PEAP/MSCHAPV2这类EAP认证方法默认要求验证服务器证书，你设置了setCaCertificate(null)但未明确关闭证书验证规则，导致配置冲突。以下是两种处理方案：

思路1：提供有效的CA证书（推荐，更安全） #

如果企业Wi-Fi有指定的CA证书，将证书文件（格式为X.509，通常是.crt或.pem）放入项目res/raw目录，然后加载并设置到配置中：

// 加载raw目录下的CA证书文件（示例证书名为enterprise_ca.crt）
InputStream caInput = context.getResources().openRawResource(R.raw.enterprise_ca);
CertificateFactory cf = CertificateFactory.getInstance("X.509");
X509Certificate caCert = (X509Certificate) cf.generateCertificate(caInput);
caInput.close();

// 将证书设置到enterpriseConfig
enterpriseConfig.setCaCertificate(caCert);

思路2：关闭服务器证书验证（不推荐，存在安全风险） #

若无法获取CA证书，可通过设置空的信任锚列表关闭验证，但这会让连接暴露在中间人攻击风险下，仅适合测试或特殊场景：

// 关闭服务器证书验证
enterpriseConfig.setTrustAnchors(new ArrayList<X509Certificate>());
// 注意：无需再调用setCaCertificate(null)，避免冲突

修改后的完整代码示例 #

@RequiresApi(api = 29)
public static boolean connectToEnterprise(Context context, String ssid, String identity, String password) {
    WifiManager wifiManager = (WifiManager) context.getSystemService(Context.WIFI_SERVICE);

    WifiEnterpriseConfig enterpriseConfig = new WifiEnterpriseConfig();
    enterpriseConfig.setEapMethod(WifiEnterpriseConfig.Eap.PEAP);
    enterpriseConfig.setPhase2Method(WifiEnterpriseConfig.Phase2.MSCHAPV2);
    enterpriseConfig.setIdentity(identity);
    enterpriseConfig.setPassword(password);

    // 方案1：加载CA证书（推荐）
    try {
        InputStream caInput = context.getResources().openRawResource(R.raw.enterprise_ca);
        CertificateFactory cf = CertificateFactory.getInstance("X.509");
        X509Certificate caCert = (X509Certificate) cf.generateCertificate(caInput);
        caInput.close();
        enterpriseConfig.setCaCertificate(caCert);
    } catch (IOException | CertificateException e) {
        e.printStackTrace();
        // 证书加载失败可选择降级到方案2，或直接返回连接失败
        // enterpriseConfig.setTrustAnchors(new ArrayList<X509Certificate>());
        return false;
    }

    // 方案2：关闭验证（不推荐，需注释掉方案1代码后启用）
    // enterpriseConfig.setTrustAnchors(new ArrayList<X509Certificate>());

    WifiNetworkSuggestion.Builder builder = new WifiNetworkSuggestion.Builder();
    builder.setSsid(ssid);
    builder.setWpa2EnterpriseConfig(enterpriseConfig);

    List<WifiNetworkSuggestion> wifiSuggestionsList = new ArrayList<>();
    wifiSuggestionsList.add(builder.build());

    int result = wifiManager.addNetworkSuggestions(wifiSuggestionsList);

    return result == WifiManager.STATUS_NETWORK_SUGGESTIONS_SUCCESS;
}

注意事项 #

• Android 10及以上使用WifiNetworkSuggestion需要申请ACCESS_FINE_LOCATION权限，且设备需开启位置服务
• 生产环境优先使用CA证书验证方案，避免关闭证书验证带来的安全隐患
• 确保加载的证书格式为X.509，若证书是DER编码，需转换为PEM格式后再使用

内容的提问来源于stack exchange，提问作者Hammad Zafar Bawara