iOS Capacitor混合应用发送Encrypted Alert包导致HTTPS请求慢问题问询

问题背景 #

基于Angular+Capacitor开发的跨端混合应用，浏览器、安卓端运行正常，仅iOS端请求响应缓慢。后端为硬件服务器，与移动端同属一个局域网，通过IP+HTTPS访问，服务端配置自签名证书。
抓包分析显示iOS端每次请求完成后都会发送Encrypted Alert包触发服务端Socket关闭，每次请求都需要重新走完整的TLS握手流程；安卓端仅首次请求执行握手，后续复用长连接。
对应抓包截图：

问题产生原因 #

• iOS系统底层TLS栈对非信任证书（自签名证书默认不受系统信任）的连接策略限制：默认不会复用TLS会话，每次请求完成后会主动发送close_notify类型的Encrypted Alert包主动断开连接，导致服务端关闭Socket，下次请求必须重新走完整的TLS握手流程，这是iOS和安卓系统信任策略差异导致的核心区别。
• Capacitor iOS端默认使用的WKWebView网络组件，对自签名证书的长连接支持存在限制：即使手动配置了允许加载自签名证书的资源，WKWebView也不会为不受系统信任的证书保持长连接，每次请求都会独立建立连接。
• 所用自签名证书可能不符合iOS ATS（应用传输安全）的规范要求：比如缺少subjectAltName（SAN）扩展字段、密钥长度不足、哈希算法过旧，都会触发iOS的严格安全校验，强制断开连接禁止会话复用。

可行解决方案 #

方案1：生成符合iOS规范的自签名证书并配置系统信任 #

1. 生成证书时必须加入SAN扩展，将访问硬件用的IP地址写入SAN字段，同时满足以下要求：密钥长度≥2048位，签名算法使用SHA-256及以上，扩展密钥用法包含「服务端身份验证」。
   可参考以下openssl配置生成证书：

# 保存为server.conf
[req]
default_bits = 2048
prompt = no
default_md = sha256
distinguished_name = dn
req_extensions = req_ext

[dn]
C = CN
ST = YourState
L = YourCity
O = YourOrg
CN = 192.168.1.100 # 替换为你的硬件服务器IP

[req_ext]
subjectAltName = IP:192.168.1.100 # 替换为你的硬件服务器IP
extendedKeyUsage = serverAuth

生成命令：

openssl req -new -x509 -days 3650 -nodes -out server.crt -keyout server.key -config server.conf

2. 将生成的根证书安装到iOS设备，进入「设置-通用-关于本机-证书信任设置」，开启对应证书的完全信任，此时iOS会将该证书识别为可信证书，允许复用TLS会话保持长连接。

方案2：调整Capacitor iOS端网络配置 #

替换WKWebView默认的网络请求逻辑，使用@capacitor-community/http插件处理所有和硬件的通信请求，该插件支持自定义TLS校验规则，可配置开启自签名证书的连接池复用，避免每次请求重建连接。
同时在iOS项目的Info.plist中添加对应的ATS例外配置：

<key>NSAppTransportSecurity</key>
<dict>
  <key>NSExceptionDomains</key>
  <dict>
    <key>192.168.1.100</key> <!-- 替换为硬件IP -->
    <dict>
      <key>NSExceptionAllowsInsecureHTTPLoads</key>
      <false/>
      <key>NSExceptionRequiresForwardSecrecy</key>
      <false/>
      <key>NSExceptionMinimumTLSVersion</key>
      <string>TLSv1.2</string>
      <key>NSIncludesSubdomains</key>
      <true/>
    </dict>
  </dict>
</dict>

方案3：服务端开启TLS会话缓存优化 #

如果修改证书或客户端配置存在限制，可在硬件服务器上开启TLS会话缓存、TLS会话票证功能，即使iOS每次主动断开连接，重连时也可以通过会话票证快速恢复会话，将完整TLS握手的耗时从数百毫秒降低到几十毫秒，大幅缓解响应慢的问题。

方案4：使用私有CA签发证书 #

生成自建的私有CA根证书，用根证书签发硬件服务器的服务端证书，将私有CA根证书安装到iOS设备并开启信任，这种方式兼容性最好，iOS会将该CA签发的所有服务端证书识别为可信，完全符合ATS的所有要求，自动复用长连接无需额外配置。

内容的提问来源于stack exchange，提问作者Redlion Controls