如何在安卓真机上配置zScaler Client Connector VPN解决API调用SSL报错

兼容性确认 #

你提到的minSdkVersion 26（对应Android 8.0）到targetSdkVersion 30（对应Android 11）版本范围完全支持zScaler Client Connector作为VPN使用，不存在系统层面的兼容性问题。

问题根因 #

报错的核心原因是Android 7.0及以上版本默认不信任用户手动安装的CA证书，你安装的zScaler SSL证书属于用户级证书，你的应用默认不会将其纳入信任锚范围，因此触发SSL握手校验失败。

修复方案 #

• 方案1：配置应用网络安全规则（测试环境使用）
  在项目res/xml目录下新建network_security_config.xml文件，添加如下配置，明确允许应用信任用户级CA证书：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config>
        <trust-anchors>
            <!-- 信任系统预装CA证书 -->
            <certificates src="system" />
            <!-- 信任用户安装的CA证书，仅测试环境开启 -->
            <certificates src="user" />
        </trust-anchors>
    </base-config>
</network-security-config>

之后在AndroidManifest.xml的application标签中添加属性关联该配置：

<application
    ...
    android:networkSecurityConfig="@xml/network_security_config"
    ...>

注意：该配置仅适用于测试阶段，正式打包上线前需要移除信任用户证书的配置，避免安全风险。

• 方案2：单独信任zScaler根证书（更安全）
  将企业下发的zScaler根CA证书放到项目assets目录下，在网络请求框架（如OkHttp、Retrofit）中手动配置该证书为信任锚，既可以解决zScaler代理下的SSL校验问题，也不会额外信任其他用户安装的未知证书。

• 检查zScaler相关配置
  确认你在安卓设备上安装的是zScaler完整根CA证书，安装时证书用途选择「VPN和应用」而非仅WLAN，同时确认zScaler后台已经对你要访问的API域名开启了SSL解密规则。

内容的提问来源于stack exchange，提问作者Hector