Flutter中launchUrl无法应用用户CA证书，网络安全配置失效

你的问题核心在于Flutter的inAppWebView模式并没有直接继承Android应用的Network Security Config配置——哪怕你在Manifest里声明了信任用户证书，WebView组件本身的证书验证逻辑是独立的，不会自动套用全局配置。

具体原因 #

Android应用的Network Security Config主要约束OkHttp、HttpURLConnection这类原生网络请求框架，而inAppWebView依赖的Android WebView组件有自己的信任机制：默认只信任系统预装的CA证书，不会自动加载用户手动安装的证书，哪怕你在全局配置里写了<certificates src="user" />。

解决办法 #

1. 自定义WebView的证书验证逻辑 #

通过WebViewConfiguration的回调获取原生WebView实例，设置自定义的证书验证规则，手动信任用户证书：

await launchUrlString(
  url,
  mode: LaunchMode.inAppWebView,
  webViewConfiguration: WebViewConfiguration(
    enableJavaScript: true,
    onWebViewCreated: (webViewController) async {
      if (webViewController.platform is AndroidWebViewController) {
        final androidController = webViewController.platform as AndroidWebViewController;
        await androidController.setWebViewClient(AndroidWebViewClient(
          onReceivedSslError: (controller, request, error) async {
            // 生产环境建议先校验证书是否为你信任的CA，再决定是否放行
            // 测试阶段可直接放行：
            request.proceed();
          },
        ));
      }
    },
  ),
);

2. 补充域名专属的网络安全配置 #

尝试在network_security_config里添加目标域名的针对性配置，明确指定信任用户证书，避免全局配置被WebView忽略：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config cleartextTrafficPermitted="true">
        <trust-anchors>
            <certificates src="system" />
            <certificates src="user" />
        </trust-anchors>
    </base-config>
    <!-- 新增目标域名的专属配置 -->
    <domain-config cleartextTrafficPermitted="true">
        <domain includeSubdomains="true">你的目标域名</domain>
        <trust-anchors>
            <certificates src="system" />
            <certificates src="user" />
        </trust-anchors>
    </domain-config>
</network-security-config>

3. 排查证书链完整性 #

虽然Chrome能正常访问，但WebView对证书链的要求更严格：确认你安装的是完整的根CA证书，而非中间证书。如果是中间证书，需要同时安装对应根证书，或者要求服务器返回完整的证书链。

内容的提问来源于stack exchange，提问作者user1209216