更换Let's Encrypt SSL证书后Node.js服务器与Android客户端Socket连接故障求助

看起来你遇到的问题核心是更换Let's Encrypt SSL证书后，旧版本的Socket.io客户端（Android 0.8.3 + Node.js 1.7.3）出现XHR轮询失败，而其他HTTPS功能正常。这大概率和证书链配置或旧客户端的SSL信任兼容性有关，下面是具体的排查和解决步骤：

1. 优先检查证书链完整性（最常见原因） #

Let's Encrypt的证书需要完整的信任链才能被旧客户端验证通过——很多人只配置了域名证书（cert.pem），但缺少中间证书（Let's Encrypt Authority X3/X1），而旧Android客户端（尤其是7.0以下）无法自动补充这个链。

修改服务端配置：
把原来的cert路径换成Let's Encrypt提供的fullchain.pem（这个文件包含了域名证书+中间证书），而不是单独的cert.pem。修改后的代码如下：

var server = https.createServer({
  key: fs.readFileSync(process.env.SSL_KEY), // 对应Let's Encrypt的privkey.pem
  cert: fs.readFileSync(process.env.SSL_FULLCHAIN), // 替换成fullchain.pem的路径
}, app);

2. 验证客户端SSL兼容性 #

你使用的Android端socket.io-client:0.8.3是非常老旧的版本（发布于2016年），它依赖的SSL库可能不支持Let's Encrypt的新根证书（ISRG Root X1）。Android 7.0及以下的系统默认不信任ISRG Root X1，会导致证书验证失败。

临时测试方案（不建议生产环境） #

如果只是想快速验证问题，可以在客户端初始化Socket时跳过证书验证（注意这会降低安全性）：

IO.Options options = new IO.Options();
try {
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, new TrustManager[]{new X509TrustManager() {
        @Override
        public void checkClientTrusted(X509Certificate[] chain, String authType) {}
        @Override
        public void checkServerTrusted(X509Certificate[] chain, String authType) {}
        @Override
        public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[0]; }
    }}, new SecureRandom());
    options.sslContext = sslContext;
    options.hostnameVerifier = (hostname, session) -> true;
} catch (Exception e) {
    e.printStackTrace();
}
Socket socket = IO.socket("https://your-server-domain", options);

长期解决方案 #

• 升级客户端依赖：将Android端的socket.io-client升级到与服务端匹配的版本（服务端是1.7.3，建议客户端用1.7.4，这个版本对SSL的兼容性更好）。注意升级后可能需要调整部分API，因为0.8.x到1.7.x有一些变化。
• 添加信任证书：将Let's Encrypt的根证书（ISRG Root X1）和中间证书打包到客户端的res/raw目录，然后自定义TrustManager来信任这些证书。

3. 验证服务端Socket.io端点 #

用curl直接测试服务端的Socket.io XHR轮询端点，确认服务端配置是否正常：

curl -v https://your-server.com/socket.io/?EIO=3&transport=polling

如果返回HTTP/1.1 200 OK和类似96:0{"sid":"xxx","upgrades":["websocket"],"pingInterval":25000,"pingTimeout":60000}的内容，说明服务端配置没问题；如果出现SSL错误（比如SSL certificate problem: unable to get local issuer certificate），那就是证书链的问题，回到步骤1解决。

4. 关于服务端rejectUnauthorized的说明 #

你设置的rejectUnauthorized: false是用来关闭服务端验证客户端证书的，而客户端验证服务端证书是客户端的行为，这个配置不会影响客户端对服务端证书的信任判断，所以不用依赖这个参数来解决问题。

内容的提问来源于stack exchange，提问作者chaitanya jain