Trust anchor for certification path not found：安卓报错修法

“Trust anchor for certification path not found”的意思是：安卓 App 无法把服务器证书和它信任的任何根证书连起来。 真实场景里，大多数是服务器没有发送中间证书。浏览器会悄悄补上，安卓 App 不会，于是出现“网页正常、App 报错”。

先判断是网站的问题还是你设备的问题

检测报证书链不完整，就是服务器的问题；检测正常，再查设备和网络。用 SSL 检测 查服务器的证书链：

curl ssl.sh/example.com

• 检测提示证书链不完整、私有 CA 或自签名：要修服务器（私有 CA 则配置 App）。
• 检测正常：看失败是否只出现在老版本安卓、特定网络（TLS 拦截），或者装了用户 CA 的调试环境里。

开发者可以确认服务器发了什么：

openssl s_client -connect api.example.com:443 -servername api.example.com -showcerts </dev/null 2>/dev/null \
  | grep -E "^ *[0-9] s:"

只有 0 s: 一行，就说明缺中间证书。

原因

服务器没有发送中间证书是最常见的原因；私有 CA、被忽略的用户 CA、老安卓缺根证书和网络拦截也会导致这个报错。

1. 缺中间证书

服务器只配置了站点证书。改用完整证书链文件，见 缺少中间证书。宝塔面板、云负载均衡上传证书时，“证书”一栏要把中间证书一起粘进去。

2. 私有 CA 或自签名证书

内部接口和测试服务器常用安卓不信任的证书。通过网络安全配置为该域名内置 CA，或者换成公开证书。

3. 用户安装的 CA 被忽略

目标 API 24 及以上的 App 默认忽略用户安装的根证书，见 安卓 App 不信任用户 CA。

4. 老安卓缺根证书

早已停止更新的设备可能没有较新的根证书，见 老安卓和 Let's Encrypt。国内不少老款电视盒子、车机、收银机仍在跑 Android 5、6，最容易遇到。

5. 网络拦截

公司代理和需要认证的公共 Wi-Fi 会出示自己的证书，App 会拒绝。用蜂窝数据测试。

在各浏览器/系统上的样子

站长怎么修

1. 发送完整证书链。

ssl_certificate     /etc/letsencrypt/live/api.example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/api.example.com/privkey.pem;

CA 给的是分开的文件，就用 证书链工具 生成证书链。

2. 检查 App 用到的每个入口。 API 网关、CDN、负载均衡各有一份证书和证书链。

3. 私有 CA 只针对那个域名把 CA 内置进 App（res/xml/network_security_config.xml 里写 <domain-config> 和 <certificates src="@raw/company_root"/>），绝不要用“信任所有”的 TrustManager。

4. 验证。 用 curl ssl.sh/example.com 检查，并在你支持的最老安卓版本真机上测试。