如何为Android设备上运行的Ktor服务器配置HTTPS（局域网IP场景）

ACME证书相关疑问解答 #

fullchain.pem与privkey.pem无法直接下载通用版本，必须和你访问服务时使用的地址强绑定生成。公共CA通过ACME API签发的可信证书，只能绑定公网可验证所有权的域名或公网IP，不支持192.168.x.x这类局域网保留网段IP，所以你参考的公网域名证书方案不适用于当前局域网场景。

局域网HTTPS适配方案 #

你可以直接生成自签名证书满足需求，不需要申请公共可信证书，有两种可选配置：

• 自定义私有域名访问：你可以任意指定一个私有域名（比如ktor-android.lan），在所有需要访问该服务的设备的hosts文件中，将该域名绑定到服务器的局域网IP 192.168.1.10，生成自签名证书时把该私有域名填入SAN（主体备用名称）字段即可。
• 直接用IP访问：生成自签名证书时，将192.168.1.10作为IP类型的SAN字段填入，后续客户端访问时信任该自签名证书就能正常建立HTTPS连接。

BKS密钥库生成步骤 #

你生成自签名的fullchain.pem和privkey.pem后，执行以下命令转换为Ktor需要的BKS格式密钥库：

1. 先将证书和私钥合并为PKCS12格式文件：
   openssl pkcs12 -export -out keystore.p12 -inkey privkey.pem -in fullchain.pem -name ktor_server
2. 再通过keytool将PKCS12文件转换为BKS格式（需提前下载对应版本的BouncyCastle依赖包）：
   keytool -importkeystore -srckeystore keystore.p12 -srcstoretype pkcs12 -destkeystore keystore.bks -deststoretype bks -provider org.bouncycastle.jce.provider.BouncyCastleProvider -providerpath bcprov-jdk15on-1.70.jar

内容的提问来源于stack exchange，提问作者Jim Clermonts