问题标签 [trustmanager]

我已经更新了应用程序，但它被 Play 商店拒绝说

“我们拒绝了您的应用程序，包名称为 XYZ，因为它违反了我们的恶意行为或用户数据政策。如果您提交了更新，您的应用程序的先前版本仍可在 Google Play 上使用。

该应用程序使用的软件包含用户安全漏洞或允许在未经适当披露的情况下收集用户数据。”

为此，我从 Manifest 文件“cleartextTrafficPermitted="true"" 中删除了代码行，并再次尝试将应用程序推送到播放商店，但仍然以同样的原因被拒绝

有关更多信息，我最近在 gradle 文件中添加了以下库文件

这是我最近在清单文件中添加的前提：

也有提到：TrustManager 您可以在这篇 Google 帮助中心文章中找到有关 TrustManager 的更多信息。你能帮我解决这个问题吗，谢谢

我收到了来自 Google 的这条消息。我们没有使用任何 TrustManager 等。我们使用的是 okhttp 和 google 发布者，我不知道如何检测到这个安全漏洞。

我们发现您的应用存在安全漏洞，可能会暴露用户信息或损坏用户设备。这违反了设备和网络滥用政策。具体来说，您的应用程序容易受到 TrustManager 的攻击。要解决此问题，请按照此 Google 帮助中心文章中的步骤操作。

受影响的版本：APK：21

\build.gradle: 错误：commons-logging 定义的类与 Android 现在提供的类冲突。解决方案包括查找没有相同问题的较新版本或替代库（例如，对于 httpclient，请改用 HttpUrlConnection 或 okhttp），或使用 jarjar 之类的东西重新打包库。[重复的 catePlatformClasses]

\build.gradle：错误：httpclient 定义的类与 Android 现在提供的类冲突。解决方案包括查找没有相同问题的较新版本或替代库（例如，对于 httpclient，请改用 HttpUrlConnection 或 okhttp），或使用 jarjar 之类的东西重新打包库。[DuplicateP latformClasses]

这修复了这些错误：

我使用 vimeo 网络库（https://github.com/vimeo/vimeo-networking-java）、exoplayer实现了 vimeo 网络，并在这篇文章中解释了https://stackoverflow.com/a/65737556/8814924

现在的问题是当我检查 API 30 时出现错误

java.lang.RuntimeException: Unable to start activity ComponentInfo{com.emergingit.emergingstudy/com.emergingit.emergingstudy.activities.course.ExoPlayerActivity}: java.lang.IllegalStateException: Unable to extract the trust manager on Android10Platform, sslSocketFactory is class com .android.org.conscrypt.OpenSSLSocketFactoryImpl

原因：java.lang.IllegalStateException: Unable to extract the trust manager on Android10Platform, sslSocketFactory is class com.android.org.conscrypt.OpenSSLSocketFactoryImpl

这表明错误

此处讨论了哪个问题：https ://github.com/square/okhttp/issues/5878 ，问题讨论：

使用网络库的当前版本“1.1.3”是否有任何解决方案，或者我必须等到库更新？

该应用程序一直很好，直到最近我们开始从 Google 收到有关 TrustManager 漏洞的邮件。我们不直接使用 TrustManager。所以唯一的可能性来自那些依赖。我们对包含“TrustManager”并返回很多的地方进行了快速搜索。

根据谷歌的说法，我们应该在下面修复它。我们如何在 Flutter 项目中自定义这些代码？

要正确处理 SSL 证书验证，请更改自定义 X509TrustManager 接口的 checkServerTrusted 方法中的代码，以在服务器提供的证书不符合您的期望时引发 CertificateException 或 IllegalArgumentException。特别是，请注意以下陷阱：

确保 checkServerTrusted 引发的异常未在方法中捕获。这将导致 checkServerTrusted 正常退出，导致应用信任有害证书。不要使用 checkValidity 来审查服务器证书。checkValidity 检查证书是否未过期，并且无法判断证书是否不应该被信任。

"我们拒绝了 xxx，软件包名称为 com.yyy，因为它违反了我们的恶意行为或用户数据政策。如果您提交了更新，您的应用程序的先前版本仍可在 Google Play 上使用。此应用程序使用包含安全漏洞的软件用户或允许在未适当披露的情况下收集用户数据。以下是您最近提交的问题列表和相应的 APK 版本。请尽快升级您的应用并增加升级后的版本号APK。 ”

我按照谷歌的说明，为请求添加了证书，仍然被谷歌拒绝并出现信任管理器错误。甚至，我使用了旧代码（应用程序的版本在商店中），结果仍然被谷歌拒绝。

这是我将图像下载到位图中的代码

但我遇到了一个例外

在此图像下载之前，他们是否有任何添加证书的方法

我正在使用 ssl 建立肥皂连接，证书 (pfx) 是动态的，因此使用 pfx 证书生成密钥库。证书存储在 AWS S3 中并被下载以验证是否需要生成新客户端。

负责生成密钥库以验证它是否为有效证书的方法如下：

KeyManagerFactory 方法：

TrustStoreFactory 方法：

在发出请求时，会返回以下异常：

知道会发生什么吗？

如果我以前加载它，为什么它在密钥库中找不到我的证书？