APP连接HTTPS接口要求详解

APP连接HTTPS接口的基本条件

现在大多数APP在与服务器通信时，都要求使用HTTPS协议。这不仅是为了数据安全，也是各大应用商店上架的硬性规定。如果APP尝试访问HTTP接口，系统会直接拦截，尤其是Android 7.0以上和iOS平台，默认启用了网络安全性配置。

证书必须可信

APP连接HTTPS接口时，服务器必须提供由权威CA机构签发的有效SSL证书。自签名证书或过期证书会导致连接失败。比如你在测试环境用了自己生成的证书，上线后用户打开APP就卡在登录页，提示“网络异常”，问题往往就出在这里。

某些企业内网APP可以通过预埋证书方式解决，但需要在APP中显式配置信任列表，普通用户无法自行添加。

域名与证书匹配

证书绑定的域名必须和接口地址完全一致。例如，证书是为 api.example.com 申请的，但APP请求的是 service.example.com，即使在同一台服务器上，也会触发证书不匹配错误。

支持现代加密协议

服务器必须开启TLS 1.2及以上版本。很多老系统还停留在TLS 1.0，APP连接时会被拒绝。可以使用OpenSSL命令测试：

openssl s_client -connect api.example.com:443 -tls1_2

如果连接失败，说明服务器未启用对应协议，需在Nginx或后端服务中调整配置。

正确处理SSL Pinning（证书锁定）

一些高安全要求的APP会启用SSL Pinning，即APP内置了对特定证书或公钥的哈希值校验。一旦服务器更换证书，哪怕是由正规CA签发的，APP也会拒绝连接。

这种情况常见于金融类APP。如果你负责后台接口升级，务必提前通知客户端团队同步发布新版本，否则用户会突然无法使用转账功能。

Android和iOS的特殊限制

Android 9（Pie）开始，默认禁用明文HTTP请求。如需临时允许，可在 res/xml/network_security_config.xml 中配置：

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config cleartextTrafficPermitted="false">
        <domain includeSubdomains="true">api.example.com</domain>
    </domain-config>
</network-security-config>

iOS则通过Info.plist中的NSAppTransportSecurity字段控制。例如允许特定域名走HTTP：

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>example.com</key>
        <dict>
            <key>NSExceptionAllowsInsecureHTTPLoads</key>
            <true/>
        </dict>
    </dict>
</dict>

时间同步也很关键

设备本地时间如果严重偏差，会导致SSL握手失败。比如手机日期被误设为2020年，而证书是2023年签发的，系统会认为证书“尚未生效”。用户反馈“连不上服务器”，你查了一圈代码没问题，最后发现是他换了块山寨电池导致时间重置。

接口响应头不要忽略

虽然HTTPS主要在传输层加密，但如果接口返回了敏感信息，还需注意响应头是否包含安全相关字段，比如Strict-Transport-Security，帮助防止降级攻击。不过这不是连接成功的必要条件，更多是增强防护。