如何为Dart/Flutter HttpClient编写自定义SSL主机名验证器

轻量适配方案：利用badCertificateCallback补全校验 #

你遇到的iOS/Android端回调返回证书不一致是Dart SDK的已知历史问题，可通过以下逻辑规避，无需修改底层实现：

• 先正常通过SecurityContext.setTrustedCertificates导入你的自定义CA根证书，保证底层TLS栈先完成证书链合法性校验，只有主机名不匹配的错误会触发badCertificateCallback
• 回调触发时，从当前连接的SecureSocket实例中获取完整证书链：Android端索引0为叶子证书，iOS端遍历证书链找到subject匹配你自定义DNS规则的叶子证书即可
• 手动提取叶子证书的SAN或CN字段，和你预设的自定义不可解析DNS名称做匹配，匹配通过返回true，否则返回false
  该方案适配成本最低，可快速满足需求。

跨平台纯Dart实现方案 #

如果要做通用库，可完全在Dart层实现自定义SecureSocket：

• 用ASN1解析库实现X509证书结构解析，自行实现证书链校验、自定义主机名匹配逻辑
• 基于RawSocket封装TLS握手流程，握手阶段拿到服务端证书后完成自定义校验，校验通过后再完成后续握手流程
• 将封装好的自定义SecureSocket通过HttpClient.connectionFactory属性注入，替换默认的SecureSocket实现
  该方案完全跨平台，不需要编写原生插件，兼容性更强。

底层FFI调用方案 #

如果要复用BoringSSL的现有校验逻辑，可通过FFI调用Dart内置的BoringSSL接口：

• 通过dart:ffi绑定BoringSSL的自定义校验相关接口，给SSL上下文设置自定义主机名验证回调
• 重写SecureSocket初始化逻辑，在TLS握手前注入自定义校验规则
  该方案可复用现有成熟校验逻辑，但需要做多平台符号适配，Dart版本升级时可能需要调整绑定逻辑。

内容的提问来源于stack exchange，提问作者Jose Troche