Android/iOS HTTP库发起HTTPS请求时会自动下载证书吗？

这个问题其实挺关键的，很多刚入行的移动开发者都会有类似疑惑，我来给你梳理清楚～

首先得明确：移动应用里的HTTPS请求核心逻辑和浏览器是一致的，都遵循标准的TLS握手流程，证书的获取、验证都是这个流程里的必经步骤。而且不管是Android还是iOS的主流HTTP库，默认都会自动完成证书的获取和验证流程——这里的“下载”其实是TLS握手阶段后台自动完成的，不是像浏览器那样让用户感知到“下载证书”的操作。

Android平台的具体情况 #

• 咱们常用的Android HTTP库，比如OkHttp、基于它封装的Retrofit，还有系统原生的HttpURLConnection，默认都是开启TLS证书验证的。
• 当发起HTTPS请求时，这些库会在TLS握手阶段自动从目标服务器拉取完整的证书链，然后和Android系统内置的信任根证书库（包含全球知名CA机构的根证书）做比对：
  • 如果证书是由系统信任的CA签发，并且域名匹配、有效期正常，就会顺利通过验证，建立加密连接；
  • 如果证书不被系统信任（比如自签名证书、过期证书），默认会直接抛出SSLHandshakeException，请求失败。
• 当然，特殊场景下开发者可以自定义信任策略，比如把自己的自签名证书加入信任库，甚至绕过验证（强烈不推荐，会带来安全风险），但这都是手动干预的特殊操作，默认流程完全是自动处理的。

iOS平台的具体情况 #

• iOS这边的主流方案，比如系统原生的URLSession，或者常用的第三方库Alamofire，默认同样会自动处理TLS证书的验证。
• 流程和Android大同小异：TLS握手时自动获取服务器的证书链，然后和iOS系统的信任存储区（Apple官方维护的信任CA根证书集合）进行验证。
  • 验证通过就正常建立加密连接；
  • 验证不通过的话，默认会直接拒绝连接。如果开发者需要处理这类场景（比如使用自签名证书），可以通过实现URLSessionDelegate的相关方法来自定义验证逻辑。
• 另外iOS还有ATS（App Transport Security）机制，默认要求所有网络请求必须使用符合安全标准的HTTPS，这也从机制上强制了证书验证的规范性。

和浏览器流程的小区别 #

浏览器会把证书信息展示给用户，还允许用户手动信任未知证书；但移动应用的HTTP库默认不会把证书相关操作暴露给用户，所有验证都在底层完成，只有验证失败时才会抛出异常，由开发者来处理。

内容的提问来源于stack exchange，提问作者Winster