在测试环境安装了调试代理的根证书，浏览器可以正常查看HTTPS请求，某个App却始终握手失败，常见原因是App启用了Certificate Pinning，也就是证书或公钥固定。系统信任链认为证书可信，并不代表它符合App内置的固定规则。
证书固定用于降低错误签发证书或受控信任库被滥用的风险，但也会增加证书续期、灾难恢复和授权调试的复杂度。
一、普通TLS验证和证书固定差在哪里
| 验证层 | 检查内容 | 调试代理证书的结果 |
|---|---|---|
| 系统信任链 | 证书链、有效期、域名和受信根 | 安装受信根后可能通过 |
| App证书固定 | 证书或公钥是否匹配内置集合 | 通常不匹配，因此仍失败 |
| 主机名验证 | SAN是否包含访问域名 | 域名错误仍会失败 |
| 服务端TLS策略 | 版本、密码套件、客户端证书 | 与固定机制是不同问题 |
二、证书固定常见固定什么
- 固定叶子证书：实现直观，但每次换证书都可能需要更新App；
- 固定公钥或SPKI摘要：证书续期可复用同一密钥，但密钥轮换更复杂；
- 固定一组当前和备用密钥：便于有计划地过渡；
- 固定中间证书或其他策略：影响范围和风险需单独评估。
“固定越多越安全”并不准确。没有备用和更新通道时，证书意外更换会让所有旧版客户端无法连接。
三、为什么浏览器能用，App不能用
浏览器通常依赖系统或自身信任库；App可能使用独立网络库、内置证书集合或平台网络安全配置。即使二者访问同一域名，证书验证路径也可能不同。
先确认失败是否真由固定引起，不要把所有握手错误都归类为Pinning。系统时间、SNI、DNS和证书链的通用排查见HTTPS代理证书错误指南。
四、授权调试的正确做法
对自己开发或明确获授权的App，推荐提供专用测试构建：
- 只在非生产构建中启用受控调试能力；
- 使用测试后端、测试账号和脱敏数据；
- 限制调试证书、设备和网络范围；
- 通过构建系统控制，不依赖运行时隐藏开关；
- 测试结束后撤销证书和访问权限；
- 发布流水线验证生产包仍启用预期安全策略。
不要在生产包里保留可由普通用户开启的“忽略证书”选项。
五、第三方App不能怎么处理
如果你不拥有App且没有明确测试授权，不应尝试修改二进制、注入代码、规避该安全校验或截取他人通信。代理服务和调试工具不会赋予这种权限。
遇到兼容问题，应使用App提供的日志、官方API、测试环境或联系开发者。企业安全测试也要遵守书面范围、时间和数据边界。
六、固定策略如何支持证书轮换
至少保留当前和下一组有效固定值，并采用分阶段流程：
- 在App版本中先加入备用公钥或证书；
- 确认足够客户端完成更新；
- 服务端切换到新证书或密钥；
- 监控握手失败和旧客户端比例；
- 稳定后在后续版本移除旧固定值。
如果先换服务端、后发布App，旧客户端可能立即大面积失败。
七、CDN和多地域证书要考虑什么
同一域名可能由多个CDN节点或证书链提供服务。固定叶子证书时，要确认所有边缘节点使用一致证书；固定中间证书时，还要考虑CA链变化。灾备域名和备用CDN也必须提前纳入。
不要只在办公室一条线路测试。至少覆盖代表性地区、IPv4/IPv6和主备后端。
八、出现握手失败如何记录
- App版本、构建类型和网络库版本；
- 设备系统、时间和网络；
- 访问域名、DNS结果和代理状态；
- 服务端实际证书链与SPKI摘要；
- TLS错误和发生时间；
- 是否仅在某个CDN节点或网络复现。
日志不应包含用户令牌、Cookie、私钥或完整业务数据。
九、证书固定失效应急怎么做
如果生产证书意外变化且大量客户端无法连接，应启动既定应急方案：确认服务端身份、恢复兼容证书或启用预先固定的备用密钥，并通过可信渠道发布修复版本。不要临时关闭所有证书校验。
十、什么时候不适合启用固定
团队无法维护密钥生命周期、客户端长期不更新、后端证书由不可控第三方频繁变化，或没有可靠灾备时，固定可能造成高可用风险。应进行威胁建模后决定，而不是把它当成所有App的必选开关。
证书固定的价值在于强化服务器身份验证，不是阻止企业自己调试。用测试构建和预先设计的轮换流程，才能同时保留安全与可维护性。
