LetsEncrypt证书的Android WebView“未找到证书路径的信任锚”

Question

我有一个通过SSL从node.js提供服务的网站。当我使用web浏览器（桌面和Android）访问站点时。一切都很好--当我检查证书是有效的并且一切看起来都很好时，锁出现了，表明站点是安全的。这应该意味着服务器设置正确，对吧？

然而，当我尝试使用Android WebView对完全相同的站点时，页面无法加载--我甚至在日志中看不到对该网页的请求。安德烈，在放松logcat上的过滤器后，我注意到了这样的消息：

I/X509Util: Failed to validate the certificate chain, error: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found.

证书不是由可信的授权机构签署的（对照Mozilla的根存储进行检查）。如果您是从受信任的权威机构购买的证书，那么您很可能只需要安装一个或多个中间证书。

证书来自LetsEncrypt，默认情况下，LetsEncrypt将四个文件放在站点的目录中:privkey.pem、cert.pem、chain.pem和fullchain.pem。我正在使用node.js中的以下代码加载所有内容：

tls.createSecureContext({
        key: fs.readFileSync(dir+"/privkey.pem", "utf8"),
        cert: fs.readFileSync(dir+"/cert.pem", "utf8")//,
        ca: fs.readFileSync(dir+"/chain.pem","utf8")
    })

通过阅读关于createSecureContext函数的文档，我认为LetsEncrypt生成的相应PEM文件是正确的。具体地说，我的理解是指向chain.pem文件的ca参数允许显示中间CA（这是Android需要的）。但是，为了更好地衡量，我还尝试了省略CA选项（这将导致它默认Mozilla的默认链），并将CA更改为指向“fullchain.pem”，但这两种方法都没有什么区别。

Answer 1

在试验了一些其他的东西之后,我发现这个方法很管用：

tls.createSecureContext({
    key: fs.readFileSync(dir+"/privkey.pem", "utf8"),
    cert: fs.readFileSync(dir+"/fullchain.pem", "utf8")
})

我从这个答案中得到了这个想法，尽管它不是指LetsEncrypt使用的命名约定，所以我不得不对它进行一些修改。