React Native WebView 提示证书颁发机构不受信任，如何排查？

这个错误说明什么？

这个错误表示 WebView 验证 HTTPS 连接时，无法建立可信的证书链。应先检查服务器发送的证书链，以及出错设备或应用是否信任对应的 CA。

现有信息还不足以确定具体原因。网站使用 CakePHP 和 PHP 5.6，不能直接解释这个错误。证书验证发生在 HTTPS 连接阶段，通常需要从提供 HTTPS 服务的服务器、反向代理、CDN 或负载均衡器查起。

“网站的 SSL 正常”也需要结合验证环境判断。即使网站能在某个浏览器中打开，也可能存在中间证书缺失、设备信任库不同或网络代理替换证书等情况。

先确认具体在哪个环境失败

记录以下信息，有助于缩小排查范围：

• 实际访问的完整 URL，以及加载过程中是否发生跳转。
• 出错平台是 Android 还是 iOS，设备系统版本及 WebView 组件版本。
• 使用的 React Native WebView 库及版本。
• 同一设备的系统浏览器能否访问同一地址。
• 更换设备或网络后是否仍然报错。

如果地址跳转到其他域名，也要检查跳转目标的证书。登录页面、接口请求或其他 HTTPS 资源可能使用不同域名，不能只检查最初输入的地址。

检查服务器发送的证书链

可以用 OpenSSL 查看服务器实际返回的证书。将示例域名替换为出错 URL 中的主机名：

openssl s_client -connect example.com:443 -servername example.com -showcerts

其中，-servername 用于发送 SNI，避免在同一 IP 托管多个 HTTPS 网站时检查到其他站点的证书。

重点检查：

• 服务器是否返回站点证书及构建信任链所需的中间证书。
• 证书是否在有效期内，域名是否包含在证书的 Subject Alternative Name 中。
• 验证输出是否出现找不到颁发者或无法验证证书链的错误。

服务器通常不需要发送根证书，根证书由客户端信任库提供。如果缺少中间证书，应在实际终止 TLS 的组件上，按其配置要求部署包含站点证书和所需中间证书的完整证书链。

OpenSSL 的验证结果取决于运行该命令的机器的信任库；上述命令也不能替代完整的主机名校验。即使电脑上验证通过，也只能作为排查线索，仍需在出错设备上复测。

还可以查看连接诊断信息和响应头：

curl -Iv https://example.com/

如果响应中有 Location，继续检查该地址。不要添加 -k，它会跳过本次需要排查的证书验证。

检查设备和应用的信任环境

如果服务器证书链没有发现异常，继续检查客户端环境：

• 自签名证书或私有 CA：设备或应用可能没有信任对应的根证书。内部服务需要按平台支持的方式配置证书信任。
• 系统信任库差异：较旧设备可能不信任所用 CA，或无法构建与其他设备相同的证书链。
• 代理或抓包工具：企业网络、VPN 或 HTTPS 抓包工具可能替换服务器证书。可以换用其他网络测试，并比较实际收到的证书。
• 设备时间异常：检查系统日期、时间和时区，排除证书有效期判断受到影响的情况。

在 Android 上，即使自行安装了 CA，也不能直接认定应用会信任它。具体行为取决于系统版本、应用的目标 API 级别和网络安全配置，需要结合这些信息判断，不能套用通用配置。

混合内容与这个错误有什么关系？

混合内容通常指 HTTPS 页面加载 HTTP 资源，排查方向与证书信任错误不同。因此，排查混合内容后仍未解决问题并不意外。

应先找到报错的 HTTPS 主机，确认它的证书能否被当前设备和应用信任。如果主页面已经能够加载，再处理页面中的 HTTP 资源或其他加载错误。

修复后如何验证？

修复证书链或客户端信任配置后，用原来出错的设备、应用和 URL 重新测试，并检查跳转涉及的域名。

不要通过忽略 SSL 错误、无条件接受证书或改用 HTTP 来消除提示。这会绕过服务器身份验证，也无法证明原来的证书问题已解决。

如果仍然失败，需要提供平台与版本、实际域名或脱敏后的证书链输出，以及同一设备浏览器的访问结果，才能继续定位。

备注：内容仅供参考。