Flutter访问Cloud Run HTTPS站点握手失败，如何配置为安全站点？

1. 检查SSL证书链完整性 #

• Cloud Run自定义域名的SSL证书必须包含完整证书链（根证书+中间证书），Chrome会自动补全缺失的中间证书，但Flutter的HTTP客户端不会。
• 执行命令openssl s_client -connect yourdomain.com:443检查证书链，确认返回Verify return code: 0 (ok)。若存在中间证书缺失，重新上传包含完整链的证书到Cloud Run。

2. 确认TLS版本兼容性 #

• Flutter的http包默认支持的TLS版本可能和Cloud Run配置不匹配，Cloud Run默认支持TLS 1.2+，但旧版Flutter或设备可能存在兼容问题。
• 可在代码中强制指定TLS版本，示例代码：

import 'dart:io';
import 'package:http/http.dart' as http;

Future<http.Response> fetchData() async {
  final client = HttpClient()
    ..connectionTimeout = const Duration(seconds: 10);
  final request = await client.getUrl(Uri.parse('https://yourdomain.com'));
  final response = await request.close();
  return http.Response.fromStream(response);
}

注意：调试时临时用badCertificateCallback跳过证书验证的方式，生产环境绝对不能使用。

3. 核对Cloud Run域名配置 #

• 确认自定义域名已正确映射到Cloud Run服务，域名解析的A/AAAA记录指向Cloud Run负载均衡IP。
• 检查Cloud Run控制台的域名状态是否为"Active"，无配置错误提示。

4. 验证客户端证书信任逻辑 #

• Flutter的http包默认使用系统证书存储，部分设备可能未信任对应根证书（概率较低）。可尝试使用dart:io的HttpClient手动加载证书链，或用证书固定类包确保客户端信任你的证书。

5. 排查网络环境问题 #

• 在不同网络环境（手机流量、不同WiFi）测试Flutter应用，排除本地代理或防火墙拦截HTTPS握手的可能。
• 检查Cloud Run服务的VPC和防火墙规则，确认允许来自客户端的HTTPS请求。

内容的提问来源于stack exchange，提问作者dontknowhy