Flutter使用Dio配置通配符证书SSL固定遇握手错误求助

问题核心分析 #

你遇到的CERTIFICATE_VERIFY_FAILED: unable to get local issuer certificate错误，以及badCertificateCallback不触发的问题，本质是证书类型使用错误、验证逻辑不合理，以及对回调触发条件的误解。

方法1（SecurityContext方式）修复方案 #

错误根源 #

securityContext.setTrustedCertificatesBytes()要求传入根CA证书，而非你的通配符服务器证书。如果传入服务器叶子证书，客户端无法验证证书链的签发者，就会抛出issuer证书错误。

修复步骤 #

1. 替换证书为根CA证书
   打开浏览器访问api.example.com，点击地址栏锁图标 → 查看证书 → 证书路径 → 选择最顶层的根CA证书 → 导出为PEM格式，替换assets/certificate/下的sslCertificate.pem。
2. 确保证书加载完成后再配置Dio
   必须先异步加载证书，再初始化Dio适配器，避免_byteData未初始化：

   // 先加载证书
   _byteData = await loadAsset();
   // 再配置Dio
   (dio.httpClientAdapter as DefaultHttpClientAdapter).onHttpClientCreate = (client) {
     SecurityContext securityContext = SecurityContext();
     securityContext.setTrustedCertificatesBytes(_byteData.buffer.asUint8List());
     return HttpClient(context: securityContext);
   };
   

3. 验证assets配置
   确保pubspec.yaml中正确声明证书路径：

   assets:
     - assets/certificate/dev/
     - assets/certificate/stage/
     - assets/certificate/test/
     - assets/certificate/live/
   

方法2（badCertificateCallback方式）修复方案 #

错误根源 #

badCertificateCallback仅在证书验证失败时触发，如果你的服务器证书已被系统默认信任（比如Let's Encrypt证书），回调不会执行。另外直接用cert.pem == pem对比极易因为格式差异（换行、空格）导致匹配失败。

修复步骤 #

1. 改用证书指纹验证（更可靠）
   对比证书的SHA-256指纹，避免格式问题：
   • 先获取服务器证书的SHA-256指纹，可通过命令行执行：

     openssl s_client -connect api.example.com:443 | openssl x509 -noout -fingerprint -sha256
     

   • 修改回调逻辑，需导入dart:convert和package:crypto/crypto.dart：

     // 硬编码你的证书SHA-256指纹（替换为实际值）
     final expectedFingerprint = "A1:B2:C3:...:Z0";
     
     (dio.httpClientAdapter as DefaultHttpClientAdapter).onHttpClientCreate = (client) {
       client.badCertificateCallback = (X509Certificate cert, String host, int port) {
         // 计算当前证书的SHA-256指纹
         final certBytes = cert.der;
         final sha256Bytes = sha256.convert(certBytes);
         final certFingerprint = sha256Bytes
             .map((byte) => byte.toRadixString(16).padLeft(2, '0'))
             .join(':')
             .toUpperCase();
         
         // 验证指纹和域名
         return certFingerprint == expectedFingerprint && host == "api.example.com";
       };
       return client;
     };
     

2. 强制触发回调（可选测试用）
   如果要测试回调逻辑，可以临时移除设备系统中对应CA的信任，或使用未被系统信任的测试证书。

额外注意事项 #

• 通配符证书*.example.com完全匹配api.example.com，这部分逻辑无问题。
• 加载证书时，可打印pem和cert.pem的内容，检查是否存在多余空格、换行符或编码问题。

内容的提问来源于stack exchange，提问作者Amit