关于ssl：如何让Charles Charles代理与Android 7 Nougat一起使用？

How to get charles proxy work with Android 7 nougat?

Android 7引入了一些处理证书方式的更改(http://android-developers.blogspot.com/2016/07/changes-to-trusted-certificate.html)，而且我无法以某种方式使我的Charles代理工作。

我的network_security_config.xml：

1
2
3
4
5
6
7
8
9
10
11
12
13

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
<base-config>
<trust-anchors>
<certificates src="system" />
</trust-anchors>
</base-config>
<debug-overrides>
<trust-anchors>
<certificates src="user" />
</trust-anchors>
</debug-overrides>
</network-security-config>

我正在调试模式下运行。但是无论如何，我都会得到javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found.。

不用说，我确实从Settings -> Security -> Install from storage安装了pfx证书。证书显示在User Credentials中，而不显示在Trusted credentials -> User中。在我的棒棒糖设备上，证书在那里列出。

我正在使用okhttp3作为HTTP库。

知道我在做什么错吗？

相关讨论

根据OP注释的故障排除线程，答案是仅将代理的CA证书安装为受信任，而不是其证书+私钥。

该问题是由两个因素引起的：

不仅安装MiTM代理的CA证书，还安装其私钥(从而使设备上的VPN应用能够从其他应用解密/ MiTM网络流量)。您在设备上不需要MiTM代理的私钥。

Android Nougat对于包含除证书之外还包含私钥的文件的Settings -> Security -> Install from storage流的行为更改。行为上的变化掩盖了上述问题。

在Nougat之前，除了证书之外，包含私钥的文件的Settings -> Security -> Install from storage流还错误地将证书安装为可信的服务器身份验证(例如HTTPS，TLS，从而使您的MiTM成功)，此外还被正确地安装为客户端用于向服务器验证此Android设备的证书。在Nougat中，该错误已修复，并且不再将这些证书安装为受信任的服务器身份验证。这样可以防止客户端身份验证凭据影响(削弱)服务器连接的安全性。在您的情况下，这将阻止您的MiTM成功。

使问题变得复杂的是，Settings -> Security -> Install from storage没有为用户提供明确的方式来指定他们是要安装客户端身份验证凭据(私钥+证书链)还是服务器身份验证信任锚(仅是CA证书-无私有证书)密钥)。结果，Settings -> Security -> Install from storage流通过假设(如果指定了私钥)它必须是客户端/用户身份验证凭据来猜测它是在处理客户端/用户身份验证凭据还是服务器身份验证信任锚。在您的情况下，它错误地假定您正在安装客户端/用户身份验证凭据，而不是服务器身份验证信任锚。

P. S.关于您的网络安全配置，您可能应该将应用程序配置为在调试模式下也信任"系统"信任锚("调试覆盖"部分)。否则，除非通过CA证书在Android设备上安装为受信任的代理进行MiTM连接，否则该应用的调试版本将无法正常工作。