【Android开发】用WebView访问证书有问题的SSL网页

Android系统的碎片化很严重，并且手机日期不正确、手机根证书异常、com.google.android.webview BUG等各种原因，都会导致WebViewClient无法访问HTTPS站点。SSL错误的处理方式十分关键，如果处理不当，可能导致中间人攻击，黑客窃听数据，进而引发安全事故。

严谨地处理onReceivedSslError尤为重要。请参考以下代码，原理是：如果webview报告SSL错误，程序将会对服务器证书进行强校验，如果服务器传入证书的指纹(sha256)与记录值一致，说明webview验证过程存在缺陷(如：手机日期错误、根证书被删除 等)，忽略SSL错误；如果证书匹配失败，表明数据通信有问题，保留阻断。

请先点击 这里，获取证书的指纹(sha256)，然后调整代码中的MySSLCNSHA256数组变量。如果APP需要访问多张证书，请在代码中加入多个证书指纹数值。在测试代码时，请将手机日期设置在证书有效期之前，判断WebView是否能正常访问HTTPS站点。

webview.setWebViewClient(new WebViewClient() {
    @Override
    public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
	  if (error.getPrimaryError() == SslError.SSL_DATE_INVALID  // 日期不正确
                            || error.getPrimaryError() == SslError.SSL_EXPIRED // 日期不正确
                            || error.getPrimaryError() == SslError.SSL_INVALID // webview BUG
                            || error.getPrimaryError() == SslError.SSL_UNTRUSTED // 根证书丢失
                            || error.getPrimaryError() == SslError.SSL_IDMISMATCH // 根证书不匹配
                            ) {

                        boolean check = CheckSSLCertUtil.checkMySSLCNCert(error.getCertificate());
                        if (check) {
                            handler.proceed();  // 如果证书一致，忽略错误
                        }
                    }
    }

public class CheckSSLCertUtil {

    /**
     * 验证域名证书
     * @param cert
     * @return
     */
    public static boolean checkMySSLCNCert(SslCertificate cert) {

        byte[] MySSLCNSHA256 = { 60,-37,44,-43,115,-111,-31,-28,61,105,117,-99,123,98,-87,71,-30,
                58,-109,70,55,-84,-116,74,-108,64,-122,-56,-45,34,-23,12 };  //证书指纹

        Bundle bundle = SslCertificate.saveState(cert);
        byte[] bytes = bundle.getByteArray("x509-certificate");
        if (bytes != null) {
            try {
                CertificateFactory cf = CertificateFactory.getInstance("X.509");
                Certificate ca = cf.generateCertificate(new ByteArrayInputStream(bytes));
                MessageDigest sha256 = MessageDigest.getInstance("SHA-256");
                byte[] Key = sha256.digest(((X509Certificate) ca).getEncoded());
                return Arrays.equals(Key, MySSLCNSHA256);
            } catch (Exception Ex) {}
        }
        return false;
    }

}