WebView 中的 SSL 处理：处理 WebView 加载 HTTPS 页面的证书错误

WebView 这东西，说白了就是个内置浏览器。但它的 SSL 处理逻辑，跟 Chrome 浏览器还真不太一样。我在项目中遇到过好几次，明明浏览器打开没问题，WebView 里就是白屏或者弹个错误提示。嗯，今天我们就来聊聊这个坑。

WebView 的证书错误回调机制

当 WebView 加载 HTTPS 页面时，如果服务器证书有问题（比如过期、域名不匹配、自签名），系统会触发一个回调方法。这个回调是 WebViewClient 里的 onReceivedSslError。

你想想看，默认情况下，WebView 会直接拒绝加载，并且弹出一个错误页面。但很多时候，我们需要自己控制这个行为——比如在测试环境用自签名证书，或者某些企业内网应用。

webView.setWebViewClient(new WebViewClient() {
    @Override
    public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
        // 默认行为：handler.cancel() 会拒绝加载
        // 如果你想继续加载：handler.proceed()
    }
});

SslError 的类型详解

回调里传进来的 SslError 对象，包含了具体的错误信息。我们需要根据不同的错误类型，决定是继续还是拒绝。

实战：优雅地处理证书错误

我个人习惯的做法是：在 onReceivedSslError 里弹一个对话框，让用户自己决定。这样既保证了安全，又给了用户选择权。

@Override
public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
    // 记录错误信息，方便排查
    Log.e("SSL_ERROR", "证书错误: " + error.toString());

    // 如果是测试环境，直接放行
    if (BuildConfig.DEBUG) {
        handler.proceed();
        return;
    }

    // 生产环境弹对话框
    new AlertDialog.Builder(context)
        .setTitle("安全警告")
        .setMessage("当前页面的证书存在问题：" + getErrorDescription(error) + "\n是否继续加载？")
        .setPositiveButton("继续", (dialog, which) -> handler.proceed())
        .setNegativeButton("取消", (dialog, which) -> handler.cancel())
        .setCancelable(false)
        .show();
}

private String getErrorDescription(SslError error) {
    switch (error.getPrimaryError()) {
        case SslError.SSL_EXPIRED:
            return "证书已过期";
        case SslError.SSL_IDMISMATCH:
            return "域名不匹配";
        case SslError.SSL_UNTRUSTED:
            return "证书不受信任";
        case SslError.SSL_DATE_INVALID:
            return "系统日期异常";
        default:
            return "未知错误";
    }
}

WebView 的 SSL 状态检查

除了处理错误回调，我们还可以主动检查 WebView 的 SSL 状态。比如在页面加载完成后，通过 WebView.getCertificate() 获取当前证书信息。

webView.setWebViewClient(new WebViewClient() {
    @Override
    public void onPageFinished(WebView view, String url) {
        SslCertificate cert = view.getCertificate();
        if (cert != null) {
            // 可以获取证书的颁发者、有效期等信息
            SslCertificate.DName issuedTo = cert.getIssuedTo();
            Log.d("SSL_CERT", "颁发给: " + issuedTo.getCName());
        }
    }
});

这个方法在混合内容（Mixed Content）场景下特别有用。比如页面里同时加载了 HTTP 和 HTTPS 的资源，WebView 可能会静默降级。通过检查证书，我们能及时发现异常。

WebView 的 SSL 配置进阶

Android 从 API 21 开始，WebView 底层使用了 Chromium 内核。这意味着我们可以通过 WebSettings 做一些更精细的配置。

WebSettings settings = webView.getSettings();

// 允许加载混合内容（从 API 21 开始）
if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.LOLLIPOP) {
    settings.setMixedContentMode(WebSettings.MIXED_CONTENT_ALWAYS_ALLOW);
    // 其他选项：
    // MIXED_CONTENT_NEVER_ALLOW - 拒绝所有混合内容
    // MIXED_CONTENT_COMPATIBILITY_MODE - 兼容模式
}

// 启用安全浏览（API 26+）
if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.O) {
    settings.setSafeBrowsingEnabled(true);
}

知识体系流程图

下面这张图总结了 WebView SSL 处理的核心逻辑，从加载请求到错误处理的完整链路：

常见坑点与避坑指南

• WebView 版本差异：不同 Android 版本的 WebView 行为不一致。比如 API 21 以下，onReceivedSslError 可能不会被调用。我建议在 onPageFinished 里也做一次证书检查作为兜底。
• 重定向场景：如果 HTTPS 页面重定向到了 HTTP，WebView 会静默降级。这时候 shouldOverrideUrlLoading 回调里要拦截检查。
• 证书固定（Pinning）：对于安全性要求高的 App，建议在 WebView 里也实现证书固定。可以通过自定义 WebViewClient 配合 TrustManager 实现。

总结

WebView 的 SSL 处理，说白了就是两件事：一是正确处理 onReceivedSslError 回调，二是合理配置 WebSettings。记住一个原则：测试环境可以灵活，生产环境必须严格。别为了省事直接调用 handler.proceed()，那等于把安全大门敞开了。

嗯，关于 WebView SSL 处理，今天就聊这么多。如果你在实际项目中遇到什么奇葩问题，欢迎交流。