因HostnameVerifier不安全实现遭Google拒审，求合规修复方案

首先得明确：你被拒绝的核心原因是代码里完全跳过了SSL证书验证和主机名校验——不管是返回null的getAcceptedIssuers，还是直接返回true的HostnameVerifier，都是Google Play安全政策明确禁止的高危操作，这种写法会让你的应用完全暴露在中间人攻击的风险下，绝对不能用。

针对SDK 17及以下的适配，正确的做法是只信任你目标服务器的合法证书，而不是信任所有证书，同时保留正常的主机名验证。下面是具体的实现步骤和代码：

1. 准备服务器证书 #

如果你的服务器用的是CA颁发的正规证书，很多低版本SDK已经内置了对应的根证书，这一步可以跳过。如果是自签名证书，需要把证书导出（格式建议用PEM或BKS），放到应用的res/raw目录下。

2. 自定义SSLContext，只信任目标证书 #

不要修改全局的HttpsURLConnection配置，而是给Volley单独配置自定义的SSL上下文，这样只会影响Volley的请求，不会波及应用内其他网络操作：

private SSLContext getTrustedSSLContext(Context context) throws Exception {
    // 读取raw目录中的服务器证书
    InputStream certStream = context.getResources().openRawResource(R.raw.your_server_certificate);
    
    // 初始化KeyStore并加载证书
    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
    keyStore.load(null);
    CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
    Certificate serverCert = certFactory.generateCertificate(certStream);
    keyStore.setCertificateEntry("trusted_server", serverCert);
    
    // 创建只信任该证书的TrustManager
    TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    trustManagerFactory.init(keyStore);
    
    // 初始化SSLContext
    SSLContext sslContext = SSLContext.getInstance("TLS");
    sslContext.init(null, trustManagerFactory.getTrustManagers(), new SecureRandom());
    
    certStream.close();
    return sslContext;
}

3. 给Volley配置自定义HurlStack #

创建请求队列时，使用上面的SSLContext生成SocketFactory，并保留默认的主机名验证器（不要自定义返回true的）：

public RequestQueue getSecureVolleyQueue(Context context) {
    RequestQueue queue;
    try {
        SSLContext sslContext = getTrustedSSLContext(context);
        HurlStack hurlStack = new HurlStack(null, sslContext.getSocketFactory()) {
            @Override
            protected HttpURLConnection createConnection(URL url) throws IOException {
                HttpsURLConnection conn = (HttpsURLConnection) super.createConnection(url);
                // 使用系统默认的主机名验证器，正确校验服务器域名
                conn.setHostnameVerifier(new DefaultHostnameVerifier());
                return conn;
            }
        };
        queue = Volley.newRequestQueue(context, hurlStack);
    } catch (Exception e) {
        // 异常情况下 fallback 到默认队列（仅作应急，建议排查证书问题）
        queue = Volley.newRequestQueue(context);
        e.printStackTrace();
    }
    return queue;
}

关键注意事项 #

• 绝对不要用全局SSL配置：HttpsURLConnection.setDefaultSSLSocketFactory和setDefaultHostnameVerifier会让应用所有网络请求都跳过验证，风险极高，Google会直接拒绝。
• 优先使用CA颁发的证书：自签名证书需要额外适配，而正规CA证书在大多数低版本SDK上都能正常验证，无需额外代码。
• 测试覆盖全版本：确保你的代码在SDK 17及以下设备能正常请求服务器，同时高版本设备也没有问题。

替换掉原来的不安全代码后，重新打包提交，应该就能通过Google Play的审核了。

内容的提问来源于stack exchange，提问作者asish rauto