Android Volley遇Trust anchor未找到错误，Google Play审核被拒求修正

这种异常处理方式是否正确？ #

不正确。你的代码存在严重安全漏洞，这也是Google Play审核拒绝的核心原因：

• 自定义X509TrustManager仅校验证书有效期，完全跳过证书信任链验证，应用会信任任何证书（包括恶意第三方伪造的证书），直接暴露在中间人攻击风险下。
• HostnameVerifier直接返回true，不验证服务器域名与证书声明的域名是否匹配，进一步放大了安全隐患。
  Google Play安全政策明确禁止这种完全绕过SSL/TLS安全验证的实现。

如何修改代码以通过Google Play审核？ #

正确做法是仅信任你的API服务器使用的合法证书，而非信任所有证书，分两种场景处理：

场景1：服务器使用公共信任CA颁发的证书 #

若服务器证书由Let’s Encrypt、DigiCert等公共信任CA颁发，原SSLHandshakeException通常是因为服务器证书链不完整（仅部署了服务器证书，未配置中间证书）。

• 无需修改代码，联系服务器运维人员，确保服务器配置完整证书链（包含服务器证书+中间证书）。设备系统自带公共CA根证书，配置正确后即可正常验证证书，解决异常。

场景2：服务器使用自签名/私有CA证书 #

若必须使用自签名或私有CA证书，需将对应CA证书（或自签名证书）打包到应用中，让应用仅信任该证书。以下是适配Volley的实现步骤：

1. 准备证书文件

将服务器的CA证书（.pem/.crt格式）放到应用res/raw目录下，例如命名为server_ca_cert.pem。

2. 创建自定义SSLContext工具方法

import android.content.Context;
import java.io.IOException;
import java.io.InputStream;
import java.security.KeyManagementException;
import java.security.KeyStore;
import java.security.KeyStoreException;
import java.security.NoSuchAlgorithmException;
import java.security.cert.Certificate;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import javax.net.ssl.SSLContext;
import javax.net.ssl.TrustManagerFactory;

public class SSLUtils {
    public static SSLContext getTrustedSSLContext(Context context) throws CertificateException, IOException, KeyStoreException, NoSuchAlgorithmException, KeyManagementException {
        // 从raw目录加载证书
        InputStream certStream = context.getResources().openRawResource(R.raw.server_ca_cert);
        CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
        X509Certificate serverCert = (X509Certificate) certFactory.generateCertificate(certStream);
        certStream.close();

        // 初始化KeyStore并添加证书
        KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
        keyStore.load(null, null);
        keyStore.setCertificateEntry("trusted_server_cert", serverCert);

        // 创建仅信任该证书的TrustManager
        TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        trustManagerFactory.init(keyStore);

        // 初始化SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, trustManagerFactory.getTrustManagers(), null);
        return sslContext;
    }
}

3. 配置Volley的RequestQueue

初始化Volley请求队列时，使用自定义SSLSocketFactory：

import com.android.volley.RequestQueue;
import com.android.volley.toolbox.HurlStack;
import com.android.volley.toolbox.Volley;
import javax.net.ssl.SSLSocketFactory;

// 在Activity或Application类中初始化RequestQueue
try {
    SSLContext sslContext = SSLUtils.getTrustedSSLContext(getApplicationContext());
    SSLSocketFactory sslSocketFactory = sslContext.getSocketFactory();
    // 用自定义SSLSocketFactory创建HurlStack
    HurlStack hurlStack = new HurlStack(null, sslSocketFactory);
    // 初始化RequestQueue
    RequestQueue requestQueue = Volley.newRequestQueue(getApplicationContext(), hurlStack);
    
    // 后续用该requestQueue发起API请求
} catch (Exception e) {
    // 处理初始化异常，不要忽略
    e.printStackTrace();
}

关键注意事项 #

• 保留默认HostnameVerifier：不要强制返回true，默认逻辑会校验服务器域名与证书CN/SAN字段是否匹配，这是防范中间人攻击的关键。
• 不要忽略异常：原代码catch (Exception ignored)会隐藏初始化错误，调试和生产环境都应正确捕获处理异常。
• 证书更新：若服务器证书过期或更换，需更新应用内证书文件并重新发布版本。

内容的提问来源于stack exchange，提问作者Robert S