Android中HTTPS REST请求自动分配客户端证书及事件未触发问题

为什么OnNeedClientCertificate事件未触发？ #

在Android平台上，TRESTClient/TNetHttpClient的OnNeedClientCertificate事件不会触发，核心原因是Delphi的这些组件底层封装了Android系统的HTTP/SSL实现（如HttpsURLConnection或OkHttp）：

• 当服务器要求客户端证书验证时，Android系统的SSL栈会直接弹出系统级的证书选择对话框，跳过了Delphi组件的事件回调逻辑。
• 该事件仅在Windows等平台有效，因为Windows的SSL栈会将证书请求传递给应用层，而Android的系统级SSL处理逻辑不支持这一回调传递。

自动设置客户端证书避免弹窗的解决方案 #

方案1：将证书打包到应用内，自定义SSL上下文替换组件配置 #

把客户端证书（推荐PKCS12格式，带私钥和证书链）放到应用的assets目录，通过代码加载证书并替换REST组件的SSL Socket Factory，让应用自动使用指定证书完成验证。

代码示例：

uses
  System.SysUtils, System.Classes,
  REST.Client, REST.Types,
  Androidapi.JNI.JavaTypes, Androidapi.JNI.GraphicsContentViewText,
  Androidapi.Helpers;

procedure SetupEmbeddedClientCertificate(ARestClient: TRESTClient; const ACertAssetPath: string; const APassphrase: string);
var
  LKeyStore: JKeyStore;
  LKeyManagerFactory: JKeyManagerFactory;
  LSSLContext: JSSLContext;
  LSSLSocketFactory: JSSLSocketFactory;
  LAssetStream: JInputStream;
begin
  // 从assets目录加载证书文件
  LAssetStream := TAndroidHelper.Context.getAssets.open(StringToJString(ACertAssetPath));
  try
    // 初始化PKCS12格式的KeyStore
    LKeyStore := TJKeyStore.JavaClass.getInstance(StringToJString('PKCS12'));
    LKeyStore.load(LAssetStream, StringToJString(APassphrase).toCharArray);

    // 初始化密钥管理器工厂
    LKeyManagerFactory := TJKeyManagerFactory.JavaClass.getInstance(TJKeyManagerFactory.JavaClass.getDefaultAlgorithm);
    LKeyManagerFactory.init(LKeyStore, StringToJString(APassphrase).toCharArray);

    // 创建自定义SSL上下文
    LSSLContext := TJSSLContext.JavaClass.getInstance(StringToJString('TLS'));
    LSSLContext.init(LKeyManagerFactory.getKeyManagers, nil, nil);

    // 获取自定义SSLSocketFactory并绑定到RESTClient的底层客户端
    LSSLSocketFactory := LSSLContext.getSocketFactory;
    if ARestClient.CustomHttpClient is TNetHttpClient then
      TNetHttpClient(ARestClient.CustomHttpClient).SSLSocketFactory := LSSLSocketFactory;
  finally
    LAssetStream.close;
  end;
end;

// 使用示例：在请求前调用
procedure TMainForm.SendRequestBtnClick(Sender: TObject);
begin
  // 加载assets目录下的client_cert.p12证书，密码为cert_pass
  SetupEmbeddedClientCertificate(RESTClient1, 'client_cert.p12', 'cert_pass');
  RESTRequest1.Execute(rmPOST);
end;

方案2：针对Delphi 10.4+版本的简化配置 #

如果使用Delphi 10.4及以上版本，可以直接通过THTTPClient的CustomSSLHandler配置客户端证书：

uses
  System.Net.HttpClient, System.Net.HttpClientComponent,
  REST.Client;

procedure SetupSSLHandlerForRESTClient(ARestClient: TRESTClient; const ACertPath: string; const APassphrase: string);
var
  LHttpClient: TNetHttpClient;
  LSSLHandler: TSSLHandler;
begin
  LHttpClient := ARestClient.CustomHttpClient as TNetHttpClient;
  LSSLHandler := TSSLHandler.Create(nil);
  try
    LSSLHandler.SSLOptions.CertFile := ACertPath; // 证书路径（assets或绝对路径）
    LSSLHandler.SSLOptions.KeyFile := ACertPath; // PKCS12格式下证书和密钥是同一个文件
    LSSLHandler.SSLOptions.Password := APassphrase;
    LHttpClient.SSLHandler := LSSLHandler;
  except
    LSSLHandler.Free;
    raise;
  end;
end;

注意事项 #

• 证书格式：必须使用包含私钥的PKCS12（.p12）格式，不要使用单独的.crt/.key文件。
• 权限：如果证书放在外部存储，需要在AndroidManifest.xml中添加READ_EXTERNAL_STORAGE权限；打包到assets目录无需额外权限。
• 版本兼容：不同Delphi版本的REST组件底层实现有差异，若代码无效，需检查对应版本的TNetHttpClientAPI文档。

内容的提问来源于stack exchange，提问作者DPLodz