Xamarin.Android使用设备自有证书搭建SSL服务器的问题

一、Windows平台API无法在Android上使用的原因 #

X509Store是Windows专属的证书操作API，Android有独立的证书存储机制，必须通过Java.Security.KeyStore相关API才能访问设备上的证书仓库。

二、从设备已安装证书中筛选目标证书 #

1. 加载证书仓库并查找目标证书 #

用户安装的证书通常存储在AndroidKeyStore中，以下是按证书主题关键字筛选特定证书的实现：

using Java.Security;
using Java.Security.Cert;

// 初始化AndroidKeyStore
KeyStore keyStore = KeyStore.GetInstance("AndroidKeyStore");
keyStore.Load(null, null); // 系统自动处理权限，无需密码

X509Certificate targetCert = null;
string targetSubjectKeyword = "mycertname"; // 要匹配的证书主题关键字
string targetAlias = null;

// 遍历所有证书别名，筛选目标证书
foreach (string alias in keyStore.Aliases())
{
    if (keyStore.IsKeyEntry(alias)) // 仅筛选包含私钥的证书（服务器需要私钥完成SSL握手）
    {
        Certificate cert = keyStore.GetCertificate(alias);
        if (cert is X509Certificate x509Cert)
        {
            if (x509Cert.SubjectDN.Name.Contains(targetSubjectKeyword))
            {
                targetCert = x509Cert;
                targetAlias = alias;
                break;
            }
        }
    }
}

if (targetCert == null)
{
    throw new Exception("未找到目标证书");
}

2. 获取证书对应的私钥 #

SSL服务器需要证书与私钥配对使用，从KeyStore中提取私钥：

IPrivateKey privateKey = (IPrivateKey)keyStore.GetKey(targetAlias, null);

三、实现Android SSL服务器监听入站连接 #

通过SSLContext创建服务器套接字，完成SSL握手与客户端连接处理：

using Javax.Net.Ssl;
using System.IO;

// 初始化KeyManagerFactory，加载证书与私钥
KeyManagerFactory kmf = KeyManagerFactory.GetInstance(KeyManagerFactory.DefaultAlgorithm);
kmf.Init(keyStore, null);

// 创建SSLContext
SSLContext sslContext = SSLContext.GetInstance("TLS");
sslContext.Init(kmf.GetKeyManagers(), null, new SecureRandom());

// 创建SSL服务器套接字工厂
SSLServerSocketFactory sslServerFactory = sslContext.ServerSocketFactory;

// 监听指定端口（示例为8443）
SSLServerSocket serverSocket = (SSLServerSocket)sslServerFactory.CreateServerSocket(8443);
serverSocket.NeedClientAuth = true; // 开启客户端证书验证，符合你的需求

// 循环接受客户端连接
while (true)
{
    SSLSocket clientSocket = (SSLSocket)serverSocket.Accept();
    // 异步处理客户端连接，避免阻塞主线程
    Task.Run(() => HandleClient(clientSocket));
}

// 客户端连接处理逻辑
void HandleClient(SSLSocket clientSocket)
{
    try
    {
        clientSocket.StartHandshake(); // 触发SSL握手
        
        // 获取数据流进行交互
        using var inputStream = new StreamReader(clientSocket.InputStream);
        using var outputStream = new StreamWriter(clientSocket.OutputStream);
        
        string clientRequest = inputStream.ReadLine();
        outputStream.WriteLine("SSL连接已建立，收到请求：" + clientRequest);
        outputStream.Flush();
    }
    catch (Exception ex)
    {
        // 处理连接异常
    }
    finally
    {
        clientSocket.Close();
    }
}

四、必要权限配置 #

在AndroidManifest.xml中添加网络权限：

<uses-permission android:name="android.permission.INTERNET" />
<uses-permission android:name="android.permission.ACCESS_NETWORK_STATE" />

内容的提问来源于stack exchange，提问作者eleviness