现在的安卓机在无法 ROOT 的情况下还能安装 CA 证书吗

[MFWT]

因为自己的内网域名后缀较为特殊，根本无法公网解析，也就无法申请正经证书，再加上自己折腾简易 PKI ，所以一些要求 SSL 的自用服务（比如 Vaultwarden ）都是用的自己的证书，在要用的设备上信任一下 CA

目前的手机是 ROOT 过的，安装证书没问题，但是考虑到以后终有一日要换手机，到时候估计没办法再进行 ROOT 处理，不知道最近几个版本的安卓，在不 ROOT 能不能继续手动添加 CA 根证书？（需要 adb 等辅助工具的也算可以）

谢谢

[KagurazakaNyaa]

可以加用户证书，但是 app 可以在 manifest 里选择是否信任用户证书

[Repobor]

一直都可以自己装，但是应用层不信任等于白干

[cwxiaos]

不能，

替代方案 1：可以 vmos 去开 root
替代方案 2:virtualxposed 加模块过检测再 hook 证书

[codehz]

你可以改 apk 注入代码强制信任（有加固的情况除外）

[MFWT]

@cwxiaos
@codehz

目前有硬性 SSL 需求的似乎只有 Vaultwarden ，感觉这种涉及到安全的搞 hook 类不太合适，也许我会考虑在公网域名单独解析一个内网地址给他用

[billlee]

@MFWT Bitwarden 客户端是开源的吧，那要信任用户证书 y 没问题？

[MFWT]

@billlee 查了一下源代码，manifest 里面倒是有引用包含 src="user"的 certificates 字段的文件，根据查到的资料，可能这个就是『信任用户证书』的意思？

[AoEiuV020JP]

这方面意外的安卓比苹果严格，安卓早几年就开始限制用户证书，允许 app 不接受用户证书避免中间人，
苹果居然这么多年没有跟进，甚至苹果能中间人在知乎已经是苹果的一大优点了，

[MIUIOS]

@AoEiuV020JP 确实 现在搞开发抓包我都首选 IOS 测试，安卓真麻烦

[processzzp]

@AoEiuV020JP @MIUIOS 因为谷歌本质上是一家广告公司，侵犯了广告公司利益的东西自然要严加打击，Chrome 浏览器强推 Manifest V3 ，不也是为了干掉 ublock 这类广告拦截器。

[sailei]

可以，不过比较麻烦