Maui Blazor中HttpClient调用Web API在Android模拟器失效

问题根源 #

你遇到的java.security.cert.CertPathValidatorException是因为Android模拟器默认不信任本地ASP.NET Core Web API使用的自签名开发证书——Windows系统和Swagger能正常调用，是因为Windows已经信任了该证书，但Android的证书信任链不包含本地自签名证书。

解决方案 #

方案1：让Android模拟器信任开发证书（推荐开发阶段使用） #

1. 导出本地API证书

   • 打开命令行执行：dotnet dev-certs https --export-path ./localhost.crt --format PEM，导出默认开发证书为PEM格式；
   • 也可以在浏览器打开API的Swagger页面，点击地址栏锁图标，导出证书为.crt文件。

2. 添加证书到Android项目

   • 在MAUI项目的Platforms/Android/Resources目录下创建raw文件夹（无则新建）；
   • 将导出的localhost.crt放入raw目录。

3. 配置Android网络安全策略

   • 在Platforms/Android/Resources/xml目录下创建network_security_config.xml文件，内容如下：

     <?xml version="1.0" encoding="utf-8"?>
     <network-security-config>
         <domain-config cleartextTrafficPermitted="false">
             <domain includeSubdomains="true">localhost</domain>
             <domain includeSubdomains="true">你的API局域网IP（如192.168.1.100）</domain>
             <trust-anchors>
                 <certificates src="system" />
                 <certificates src="@raw/localhost" /> <!-- 对应raw目录中的证书文件名，不带后缀 -->
             </trust-anchors>
         </domain-config>
     </network-security-config>
     

4. 关联配置到AndroidManifest

   • 打开Platforms/Android/AndroidManifest.xml，在<application>标签内添加：

     android:networkSecurityConfig="@xml/network_security_config"
     

方案2：临时禁用证书验证（仅开发调试用，禁止生产环境使用） #

在初始化HttpClient时跳过证书校验，代码示例：

var handler = new HttpClientHandler();
// 强制信任所有证书，仅用于本地调试
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;
var _httpClient = new HttpClient(handler);

方案3：使用权威机构颁发的证书（生产环境） #

上线时改用Let's Encrypt等权威机构提供的免费HTTPS证书，Android系统会自动信任这类合法证书，无需额外配置。

额外检查点 #

• 确保Android模拟器能访问API：在模拟器浏览器中输入API的Swagger地址（用宿主机局域网IP代替localhost），验证网络连通性；
• 确认API的CORS配置已包含模拟器的请求来源，避免跨域拦截。

内容的提问来源于stack exchange，提问作者Skogskotten