Android应用SSL证书过期/续期：无需APP更新的动态处理方案问询

一、证书过期/续期后是否必须发布APP更新？ #

如果你的APP固定的是当前SSL证书的具体哈希值，那么证书续期后（即使是同一家CA签发的新证书），新证书的哈希值会和旧证书不同，APP内的固定规则会验证失败，这种情况下必须发布APP更新，将新证书的哈希添加到固定列表中才能恢复正常使用。

二、有没有无需更新APP即可适配证书续期的实现方式？ #

有几种方案可以实现无需发版适配证书续期：

• 固定CA根证书或中间证书的哈希：续期后的证书通常由同一CA签发，根证书或中间证书的哈希值不会随终端证书续期而变化。APP验证时只校验根/中间证书的哈希，就能兼容续期后的新终端证书。但这种方式的安全性略低于固定终端证书，因为如果CA根证书泄露，攻击者可以用该CA签发的恶意证书绕过验证。
• 提前预埋多份证书哈希：在APP中同时预埋当前证书和未来续期计划使用的新证书的哈希值。续期后直接切换到新证书，APP的固定列表已经包含对应哈希，无需发版。这种方式需要提前规划续期的证书，适合内部可控的服务场景。
• 动态证书固定机制：让APP从你的后端服务拉取合法的证书哈希列表（比如通过一个带签名验证的接口），验证SSL连接时使用拉取到的哈希列表进行校验。证书续期后，只需在后端更新哈希列表，APP下次拉取后就能自动适配新证书。注意要确保拉取哈希列表的过程安全，比如用预埋的根证书验证后端接口的SSL连接，或者对返回的哈希列表做数字签名校验，防止中间人篡改。

内容的提问来源于stack exchange，提问作者Ganesh Katikar