okhttp找不到证书路径的信任锚

Question

因此，我整夜都在努力使它起作用，但是似乎没有任何解决方法……我一直在找不到证书路径的信任锚。

这是我构建okhttpClient的方式（我遵循了https://medium.com/@sreekumar_av/certificate-public-key-pinning-in-android-using-retrofit-2-0-74140800025b ）

fun provideOkHttpClient(): OkHttpClient {
    val httpClientBuilder = OkHttpClient()
            .newBuilder()

    val logging = HttpLoggingInterceptor()
    logging.level = if (BuildConfig.DEBUG)
        HttpLoggingInterceptor.Level.BODY
    else
        HttpLoggingInterceptor.Level.NONE


    val certificatePinner = CertificatePinner.Builder()
            .add(HOST, SHA)
            .build()

    val connectionSpec = ConnectionSpec.Builder(ConnectionSpec.MODERN_TLS)
    connectionSpec.tlsVersions(TlsVersion.TLS_1_2).build()

    val tlsSocketFactory = TLSSocketFactory()
    return httpClientBuilder
            .certificatePinner(certificatePinner)
            .addNetworkInterceptor(logging)
            .sslSocketFactory(tlsSocketFactory, tlsSocketFactory.systemDefaultTrustManager())
            .connectionSpecs(Collections.singletonList(connectionSpec.build()))
            .build()
}

我得到了这样的信息：openssl s_client -connect host：port | openssl x509 -pubkey -noout | openssl rsa -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64

这是TLSFacotry： https ://gist.github.com/pollux-/fbcc74984e110bb49497faa2d0ed5ee1#file-tlssocketfactory-java

我真的不明白为什么它在那个时候不起作用。

任何帮助将不胜感激！

Answer 1

仅在接受证书链后才能评估IIRC证书固定。

拥有完整的堆栈跟踪以及尝试连接的主机将很有帮助，因为可能使用的是客户端不会接受的自签名证书。

尝试先使它在没有证书固定的情况下工作，然后再将其添加。正如@CommonsWare提到的，当证书固定失败时，它会告诉您该怎么做。