如何在 android 上动态固定证书

Question

我正在开发一个 SDK，它向 a）我们自己的后端和 b）我们的第三方提供商后端发出请求。 我们自己的请求通过 retrofit 和 httpClient 处理，我们使用 CertificatePinnerBuilder 添加后端和代理的证书公钥。 我们提供者的库使用类似的（公钥）固定方法。

我已经设置了一个虚拟应用程序来测试集成，因此我可以编写尽可能详细的集成文档，并注意到当我集成我的 SDK而不向 network_security_config 文件添加证书文件（R.raw.certs）时，我获取 Trust Anchor 未发现异常。 就像将这些文件添加到 trust-anchor 元素一样简单。

<base-config cleartextTrafficPermitted="false">
        <trust-anchors>
            <certificates src="user" />
            <certificates src="@raw/proxy_certificate" />
            <certificates src="@raw/ca_root_certificate" />
            <certificates src="@raw/my_backend_certificate" />
        </trust-anchors>
</base-config>

问题是，我们最近对代理进行了证书更新，这显然涉及应用程序代码的更改（即：新文件和新密钥），我想知道是否有办法只使用密钥（也许，什么都没有network_security_config），因为我的 SDK 允许消费应用程序向其提供证书密钥，以防他们需要通过代理提供 go。 我的想法是，消费应用程序可以从其后端获取证书密钥以使其保持最新状态，也许无需在证书更新时推出新版本。 这甚至可能吗？ 我找不到任何关于它的信息，每个示例都包括向应用程序添加文件。