现在的安卓机在无法 ROOT 的情况下还能安装 CA 证书吗

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

因为自己的内网域名后缀较为特殊，根本无法公网解析，也就无法申请正经证书，再加上自己折腾简易 PKI ，所以一些要求 SSL 的自用服务（比如 Vaultwarden ）都是用的自己的证书，在要用的设备上信任一下 CA

目前的手机是 ROOT 过的，安装证书没问题，但是考虑到以后终有一日要换手机，到时候估计没办法再进行 ROOT 处理，不知道最近几个版本的安卓，在不 ROOT 能不能继续手动添加 CA 根证书？（需要 adb 等辅助工具的也算可以）

谢谢

10 条回复 • 2025-09-27 09:09:47 +08:00

KagurazakaNyaa

13 小时 18 分钟前

可以加用户证书，但是 app 可以在 manifest 里选择是否信任用户证书

Repobor

11 小时 25 分钟前

一直都可以自己装，但是应用层不信任等于白干

cwxiaos

11 小时 1 分钟前 via iPhone

不能，

替代方案 1：可以 vmos 去开 root
替代方案 2:virtualxposed 加模块过检测再 hook 证书

codehz

10 小时 15 分钟前 via Android

你可以改 apk 注入代码强制信任（有加固的情况除外）

MFWT

10 小时 0 分钟前

@cwxiaos
@codehz

目前有硬性 SSL 需求的似乎只有 Vaultwarden ，感觉这种涉及到安全的搞 hook 类不太合适，也许我会考虑在公网域名单独解析一个内网地址给他用

billlee

9 小时 41 分钟前

@MFWT Bitwarden 客户端是开源的吧，那要信任用户证书 y 没问题？

MFWT

8 小时 41 分钟前

@billlee 查了一下源代码，manifest 里面倒是有引用包含 src="user"的 certificates 字段的文件，根据查到的资料，可能这个就是『信任用户证书』的意思？

AoEiuV020JP

1 小时 18 分钟前 via Android

这方面意外的安卓比苹果严格，安卓早几年就开始限制用户证书，允许 app 不接受用户证书避免中间人，
苹果居然这么多年没有跟进，甚至苹果能中间人在知乎已经是苹果的一大优点了，

MIUIOS

1 小时 3 分钟前

@AoEiuV020JP 确实现在搞开发抓包我都首选 IOS 测试，安卓真麻烦

processzzp

40 分钟前

@AoEiuV020JP @MIUIOS 因为谷歌本质上是一家广告公司，侵犯了广告公司利益的东西自然要严加打击，Chrome 浏览器强推 Manifest V3 ，不也是为了干掉 ublock 这类广告拦截器。