android webview與客戶端證書

Question

我試了幾天使用Web應用程序中嵌入的客戶端證書的web視圖，但在我看來，android sdk不提供任何方式來做到這一點，是否有回調攔截服務器發送的挑戰？有沒有辦法使用webview與客戶端證書，並提出https請求？

Answer 1

因爲我也對你的問題感興趣，所以我檢查了WebView和WebViewClient的文檔，並且看起來你不能使用客戶端證書來驗證webview會話，因爲所需的方法（ClientCertRequestHandler ）不是公共API。

Using a Android WebView to connect to secure server with Client Certificate

在Android安全討論中搜索確認電話確實是不可用：

https://groups.google.com/forum/#!msg/android-security-discuss/0hzTGaA9swQ/1Oqc8UpGLH8J

而且即使

的Android 4.0的版本還包括支持在瀏覽器中進行客戶端證書認證。

（參考：https://code.google.com/p/android/issues/detail?id=8196）

沒有關於網頁視圖提及:(

即使有一些新的API在鑰匙扣加載證書：

http://developer.android.com/reference/android/security/KeyChain.html http://nelenkov.blogspot.it/2011/11/using-ics-keychain-api.html

目前尚不清楚WebView是否會使用它們...所以我想你應該嘗試KeyChain類a nd看看你是否可以正確認證（我沒有簡單的方法來測試這個，所以你是自己的）。

如果鑰匙串沒有與網頁視圖工作，我想這一切都歸結爲一對夫婦遠非完美的解決方法：

解決方案1：

使用ClientCertRequestHandler反正（它被標記爲隱藏的，但顯然仍然可用）：

https://code.google.com/p/android/issues/detail?id=53491

然而即使假設噸你製作它的帽子，Android Dev。團隊可能會在不通知的情況下修改/刪除該方法，並且您的應用可能會停止在SO的未來版本上工作。

解決方案2：

如果你可以在你的目標限制到Android 4.0或更高版本，一個大膽的（且不太可能......）解決方案是儘量利用本地存儲加載web視圖證書文件格式：

Load local HTML file into WebView

但我強烈懷疑的WebView將表現爲瀏覽器...

溶液3：（其應該工作，但需要大量的努力）

處理每HTTPS使用連接在背景了HTTPClient或HttpURLConnection類，然後將數據傳遞給web視圖：

http://chariotsolutions.com/blog/post/https-with-client-certificates-on/

你有我的同情心。

Answer 2

我們無法訪問webview中的客戶端證書， 針對同一個問題提出了一個谷歌問題。 https://code.google.com/p/android/issues/detail?id=53491

Answer 3

Android 4.4基於Chronium的WebView引入了一個bug：當服務器請求客戶端證書時，WebView將停止加載過程。 已onPageFinished - 方法將立即被調用，但沒有頁面顯示。

- >https://code.google.com/p/android/issues/detail?id=62533

Answer 4

在API 21（的Android棒棒糖）和更高可以重寫WebViewClient.onReceivedClientCertRequest（web視圖視圖，ClientCertRequest請求）。在該方法中，使用您的密鑰管理器獲取私鑰和​​證書鏈，並調用request.proceed（）。

Answer 5

如果你只需要忽略網頁視圖中的SSL證書請求，這爲我工作的棒棒糖：

內，您的Web視圖客戶端，覆蓋：

@Override 
public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) { 
    handler.proceed(); // Ignore SSL certificate errors 
} 

這對於調試網頁視圖有用針對qa/dev/stage環境。

Answer 6

要正確處理SSL證書驗證以防止應用根據更新後的安全策略被拒絕從Google Play中更改代碼以在服務器提供的證書滿足您的期望時調用SslErrorHandler.proceed（）並調用SslErrorHandler.cancel （） 除此以外。

例如，我添加了一個提醒對話框，讓用戶確認，Google似乎不再顯示警告。

@Override 
    public void onReceivedSslError(WebView view, final SslErrorHandler handler, SslError error) { 
    final AlertDialog.Builder builder = new AlertDialog.Builder(this); 
    String message = "SSL Certificate error."; 
     switch (error.getPrimaryError()) { 
      case SslError.SSL_UNTRUSTED: 
       message = "The certificate authority is not trusted."; 
       break; 
      case SslError.SSL_EXPIRED: 
       message = "The certificate has expired."; 
       break; 
      case SslError.SSL_IDMISMATCH: 
       message = "The certificate Hostname mismatch."; 
       break; 
      case SslError.SSL_NOTYETVALID: 
       message = "The certificate is not yet valid."; 
       break; 
     } 
     message += " Do you want to continue anyway?"; 

     builder.setTitle("SSL Certificate Error"); 
     builder.setMessage(message); 
    builder.setPositiveButton("continue", new DialogInterface.OnClickListener() { 
     @Override 
     public void onClick(DialogInterface dialog, int which) { 
      handler.proceed(); 
     } 
    }); 
    builder.setNegativeButton("cancel", new DialogInterface.OnClickListener() { 
     @Override 
     public void onClick(DialogInterface dialog, int which) { 
      handler.cancel(); 
     } 
    }); 
    final AlertDialog dialog = builder.create(); 
    dialog.show(); 
} 

在此更改後，它不會顯示警告。

Answer 7

自簽名證書爲我工作

請檢查這個答案https://stackoverflow.com/a/49003522/5058630