React Native Android端无法连接后端：CertPathValidatorException问题求助

核心问题总结 #

所有Android设备（含第三方API测试工具）请求后端API时触发java.security.cert.CertPathValidatorException: Trust anchor for certification path not found，但iOS、浏览器请求正常，服务器及应用代码无变更。证书为Let's Encrypt颁发，部署在Nginx 1.22.1上。

关键排查与解决建议 #

1. 强制验证服务器SSL证书链完整性 #

Android对证书链的完整性要求比iOS/浏览器更严格，即使SSLLabs检测正常，也可能存在链缺失问题：

• 执行命令手动检查服务器返回的证书链：

  openssl s_client -connect your-domain:443 -showcerts
  

  确认输出中包含叶证书+中间证书+根证书（ISRG Root X1），若仅返回叶证书，说明Nginx未配置完整证书链。
• 修正Nginx配置：确保ssl_certificate指向Let's Encrypt生成的fullchain.pem而非单独的cert.pem：

  ssl_certificate /etc/letsencrypt/live/your-domain/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/your-domain/privkey.pem;
  

  重启Nginx后重新测试。

2. 适配Android旧版本证书信任逻辑 #

Android 7.0（API 24）及以下系统默认不直接信任ISRG Root X1，需依赖DST Root CA X3的交叉签名链：

• 检查SSLLabs报告的「Certificate Paths」部分，确认存在两条有效路径：一条指向ISRG Root X1，一条指向DST Root CA X3（交叉签名）。
• 若缺失交叉签名链，重新生成证书时添加参数：

  certbot renew --preferred-chain="DST Root CA X3"
  

  （注：DST Root CA X3已过期，但Android 7及以下设备仍会通过交叉签名逻辑信任ISRG Root X1）

3. Nginx SSL协议与 cipher 配置优化 #

确保Nginx配置兼容Android设备的SSL支持：

• 配置支持的SSL协议：

  ssl_protocols TLSv1.2 TLSv1.3;
  

  保留TLSv1.2以兼容旧Android设备，可选择性禁用TLSv1.0/TLSv1.1。
• 使用Android兼容的加密套件：

  ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
  ssl_prefer_server_ciphers off;
  

4. Expo环境临时适配方案（仅开发/应急用） #

若服务器端调整需时间，可在Expo项目中临时配置网络安全策略：

• 对于Managed Workflow，在app.json中添加Android网络安全配置，指定信任目标域名的证书：

  "android": {
    "networkSecurityConfig": {
      "domainConfigs": [
        {
          "domain": "your-backend-domain.com",
          "trustAnchors": [
            {
              "certificates": ["@raw/your_cert_file"]
            }
          ]
        }
      ]
    }
  }
  

  将证书文件（.pem格式）放置在android/app/src/main/res/raw/目录（若未使用Bare Workflow，需先执行expo prebuild转换为原生项目结构）。
• 注意：此方案仅作临时应急，上线前必须恢复依赖系统信任链的配置，避免证书固定带来的维护风险。

内容的提问来源于stack exchange，提问作者Wilson Bustos