WebView 客户端证书请求：处理 WebView 中的客户端证书选择

说实话，WebView 里的客户端证书处理，是我在移动安全领域踩过最多坑的地方之一。很多开发者觉得 SSL 配好了就万事大吉，结果客户端证书一弹出来，整个 WebView 就卡死了。嗯，今天我们就来彻底搞定它。

为什么 WebView 需要客户端证书？

先说说场景。你想想看，有些企业级应用，比如银行内部系统、政务平台，它们不光要验证服务器的身份（服务器证书），还要反过来验证你是不是合法用户。这时候就需要客户端证书了。

WebView 默认是不处理客户端证书请求的。服务器一发来 CertificateRequest 握手消息，WebView 就懵了——它不知道去哪找证书，也不知道该选哪个。结果就是页面白屏，或者弹个系统对话框让用户选，体验极差。

处理流程全景图

先看一张图，把整个流程理清楚。我个人习惯在写代码前先画流程图，这样不容易漏掉边界情况。

核心实现：onReceivedClientCertRequest

这个回调是处理客户端证书的入口。当服务器要求客户端提供证书时，WebView 会调用它。你需要在这里做三件事：

1. 检查是否有可用的客户端证书——通常从 KeyStore 中加载
2. 选择合适的证书——根据服务器请求的 CA 列表来匹配
3. 调用 proceed() 或 cancel()——前者提交证书，后者拒绝

来看代码。这是我最常用的实现模板：

webView.setWebViewClient(new WebViewClient() {
    @Override
    public void onReceivedClientCertRequest(WebView view, 
            final ClientCertRequest request) {
        
        // 1. 获取服务器期望的 CA 列表
        String[] acceptableIssuers = request.getPrincipals();
        
        // 2. 从 KeyStore 中查找匹配的证书
        PrivateKey privateKey = loadPrivateKey();
        X509Certificate[] certChain = loadCertificateChain();
        
        if (privateKey != null && certChain != null) {
            // 3. 提交证书
            request.proceed(privateKey, certChain);
        } else {
            // 4. 拒绝请求
            request.cancel();
        }
    }
});

证书选择策略

你可能会问：如果有多个证书怎么办？嗯，这里有个讲究。服务器会在 CertificateRequest 中携带它信任的 CA 列表，你可以根据这个来筛选。

策略	适用场景	注意事项
自动匹配 CA 列表	企业内网，证书由统一 CA 签发	需要解析 Principal 信息
用户手动选择	支持多证书的通用浏览器	需要弹对话框，体验要轻量
固定证书	单一用户、单一证书的场景	最简单，但不够灵活

KeyStore 加载实战

加载客户端证书，说白了就是从 KeyStore 里把私钥和证书链读出来。这里有个坑：证书链的顺序必须是 [用户证书, 中间CA, 根CA]，不能乱。

private X509Certificate[] loadCertificateChain() {
    try {
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        // 从 assets 或文件系统加载
        InputStream is = context.getAssets().open("client.p12");
        keyStore.load(is, "password".toCharArray());
        
        String alias = keyStore.aliases().nextElement();
        Certificate[] certs = keyStore.getCertificateChain(alias);
        
        // 转换为 X509Certificate 数组
        X509Certificate[] x509Certs = new X509Certificate[certs.length];
        for (int i = 0; i < certs.length; i++) {
            x509Certs[i] = (X509Certificate) certs[i];
        }
        return x509Certs;
    } catch (Exception e) {
        Log.e("CertError", "加载证书失败", e);
        return null;
    }
}

避坑指南

我曾经在一个金融项目里，因为证书链顺序搞反了，调试了整整两天。服务器一直报 bad_certificate，我还以为是证书过期了。后来才发现，证书链必须从用户证书开始，逐级往上。

• 证书格式：PKCS12 是最通用的，BKS 也可以但兼容性差一些
• 私钥保护：不要把密码硬编码在代码里，用 Android Keystore 加密存储
• 多线程问题：onReceivedClientCertRequest 在 UI 线程调用，但证书加载建议异步做
• 取消请求：如果用户点了取消，记得调用 cancel()，否则 WebView 会一直等

完整示例：带用户选择的实现

如果你想给用户一个选择界面，可以这样写。我个人比较推荐这种方式，用户体验更好：

@Override
public void onReceivedClientCertRequest(WebView view, 
        final ClientCertRequest request) {
    
    // 异步加载证书列表
    new AsyncTask<Void, Void, List<CertItem>>() {
        @Override
        protected List<CertItem> doInBackground(Void... params) {
            return loadAvailableCertificates();
        }
        
        @Override
        protected void onPostExecute(List<CertItem> certs) {
            if (certs.isEmpty()) {
                request.cancel();
                return;
            }
            
            // 弹对话框让用户选择
            showCertPickerDialog(certs, new CertCallback() {
                @Override
                public void onCertSelected(CertItem item) {
                    request.proceed(item.privateKey, item.certChain);
                }
                
                @Override
                public void onCancel() {
                    request.cancel();
                }
            });
        }
    }.execute();
}

嗯，到这里 WebView 客户端证书的核心内容就差不多了。记住一点：证书处理不是「能用就行」，它关系到整个通信链路的安全性。你想想看，如果证书选错了，或者私钥泄露了，那 SSL/TLS 的保护就形同虚设了。