Trust anchor not found：安卓 App 不信任用户安装的 CA

在 Android 7.0 及以后，除非 App 明确声明，否则它会忽略用户自己安装的 CA 证书。 所以公司根证书、学校 Wi-Fi 证书或调试代理的根证书装上以后，网站在 Chrome 里正常，App 却一直报证书错误。这是系统有意的安全设计，不是手机坏了。

先判断是网站的问题还是你设备的问题

服务器用有效的公开证书时，App 不需要任何用户 CA，问题出在网络或 App 配置上。先用 SSL 检测 确认服务器用的是哪种证书：

curl ssl.sh/example.com

• 服务器用的是有效的公开证书：App 不需要任何用户 CA 就该正常。只在某个网络里失败，说明那个网络在拦截 TLS（见 公司 SSL 解密）。
• 服务器用私有 CA，或者流量必须经过检查代理：要么 App 配置信任这个 CA，要么服务器换成公开证书。

原因

最常见的情况是 App 目标 API 为 24 及以上，又没有声明信任用户 CA；公司 SSL 解密、调试抓包和内部私有 CA 也会触发。

1. App 目标 API 24+，且没有声明信任用户 CA

现代 App 的默认信任配置只包含系统 CA，在设置里装根证书对它们没有任何影响。开发者可以这样确认：

adb logcat | grep -iE "trust anchor|CertPathValidatorException|SSLHandshakeException"

2. 公司网络做了 SSL 解密

公司代理用自己的根证书重新签发 HTTPS。信任用户或管理员 CA 的浏览器能用，App 失败。要在公司这边解决：把 App 流量排除在解密之外，或者用设备管理把 CA 下发给 App。

3. 调试抓包代理的根证书

开发者抓 App 流量时会把代理根证书装成用户 CA。自己的调试版本需要 <debug-overrides>；第三方的正式版 App 不会信任它，这是故意的。

4. 内部接口用私有 CA

公司 CA 签发的内部服务，需要 App 内置这个 CA，或者在网络安全配置里引用它。

在各浏览器/系统上的样子

站长怎么修

1. 手机访问的接口一律优先用公开证书。 这样就不需要任何用户 CA，用 curl ssl.sh/example.com 确认证书链即可。阿里云、腾讯云的负载均衡和 API 网关都可以直接绑定公开证书。

2. 针对特定域名内置私有 CA，写在 res/xml/network_security_config.xml：

<network-security-config>
  <domain-config>
    <domain includeSubdomains="true">internal.example.com</domain>
    <trust-anchors>
      <certificates src="@raw/company_root"/>
      <certificates src="system"/>
    </trust-anchors>
  </domain-config>
  <debug-overrides>
    <trust-anchors>
      <certificates src="user"/>
    </trust-anchors>
  </debug-overrides>
</network-security-config>

在清单文件里用 android:networkSecurityConfig="@xml/network_security_config" 引用它。

3. 正式版不要信任用户 CA，除非 App 专门面向公司统一管理的设备。