Flutter中如何使用.cer证书文件调用REST API获取数据

Hey there! I’ve tackled this exact problem before when building Flutter apps that require custom SSL certificate validation for API calls—just like you did on Android. Let’s break down the steps to get this working smoothly.

1. 准备证书文件 #

首先，把你的.cer证书文件放到Flutter项目的assets目录下（如果没有assets文件夹，直接在项目根目录创建一个，还可以建子分类比如assets/certs/来整理证书）。

然后，在pubspec.yaml中声明这个资源，确保Flutter能正确访问到：

flutter:
  assets:
    - assets/certs/your_certificate.cer

记得运行flutter pub get来同步配置。

2. 实现证书验证的两种常用方式 #

方式一：使用Flutter原生的HttpClient #

Flutter自带的HttpClient可以通过配置SecurityContext来加载自定义证书，具体代码如下：

import 'dart:convert';
import 'dart:io';
import 'package:flutter/services.dart';

Future<void> fetchDataWithCustomCert() async {
  // 1. 从assets读取证书文件
  final certBytes = await rootBundle.load('assets/certs/your_certificate.cer');
  final certBytesList = certBytes.buffer.asUint8List();

  // 2. 创建SecurityContext并添加信任证书
  final securityContext = SecurityContext()
    ..setTrustedCertificatesBytes(certBytesList);

  // 3. 初始化HttpClient并绑定上下文
  final httpClient = HttpClient(context: securityContext);

  try {
    // 4. 发起API请求
    final request = await httpClient.getUrl(Uri.parse('https://your-api-domain.com/endpoint'));
    final response = await request.close();
    final responseBody = await utf8.decodeStream(response);
    
    print('Response: $responseBody');
  } catch (e) {
    print('Request failed: $e');
  } finally {
    httpClient.close();
  }
}

方式二：使用Dio库（更推荐，适配复杂网络场景） #

如果你的项目用的是Dio（目前Flutter最流行的网络库），可以通过自定义HttpClientAdapter来配置证书，代码更简洁且易维护：

import 'dart:io';
import 'package:dio/dio.dart';
import 'package:flutter/services.dart';

Future<void> fetchDataWithDioAndCustomCert() async {
  final dio = Dio();

  // 1. 读取证书文件
  final certBytes = await rootBundle.load('assets/certs/your_certificate.cer');
  final certBytesList = certBytes.buffer.asUint8List();

  // 2. 配置HttpClientAdapter，注入自定义证书
  dio.httpClientAdapter = HttpClientAdapter()
    ..onHttpClientCreate = (client) {
      final securityContext = SecurityContext()
        ..setTrustedCertificatesBytes(certBytesList);
      return HttpClient(context: securityContext);
    };

  try {
    // 3. 发起请求
    final response = await dio.get('https://your-api-domain.com/endpoint');
    print('Response: ${response.data}');
  } catch (e) {
    print('Request failed: $e');
  }
}

一些关键注意事项 #

• 确保你的.cer证书是DER格式（大部分.cer文件默认采用这个格式），如果是PEM格式，需要先转换格式或者调整代码的读取逻辑。
• 测试时如果遇到证书验证失败，先检查证书是否对应目标API的域名，以及证书是否在有效期内。
• 绝对不要在生产环境中通过badCertificateCallback返回true来忽略证书验证（仅用于本地开发测试），这会带来严重的安全风险。

内容的提问来源于stack exchange，提问作者Rohit