Vertraue der Recorder-CA von JMeter nur in deinem Android-Debug-Build

Nutze einen debug-overrides-Anker für eine App, die dir gehört, und halte Manifest-Referenz, tatsächliche Recording-CA und Proxy-Route in Einklang.

Wenn deine eigene Debug-App JMeter erreicht, aber HTTPS ablehnt, gib ihre Recording-CA in die Trust-Konfiguration der App:

  1. Starte den echten JMeter-HTTP(S)-Recorder und hole die erzeugte Datei ApacheJMeterTemporaryRootCA.crt.
  2. Lege diese öffentliche CA als jmeter_debug_ca.crt in den Raw-Ressourcen der App ab.
  3. Führe diesen Anker mit den vorhandenen Netzwerksicherheitsregeln zusammen:
<network-security-config>
    <debug-overrides>
        <trust-anchors>
            <certificates src="@raw/jmeter_debug_ca" />
        </trust-anchors>
    </debug-overrides>
</network-security-config>

Verweise aus android:networkSecurityConfig im Manifest auf dieses XML. Für network_security_config.xml nutze @xml/network_security_config.

Android wendet debug-overrides nur an, wenn android:debuggable wahr ist; bei false wird der Abschnitt ignoriert. Eine reine Debug-Ankerquelle mit user ist eine weitere Option für einen Ablauf, der bewusst nutzerinstallierten CAs vertraut.

Vertrauen im Browser allein legt die Richtlinie der App nicht fest. Das Telefon muss den Recorder weiterhin erreichen, und der Netzwerkclient der App muss diesen Proxy verwenden. Ein eigener Stack braucht möglicherweise eine eigene unterstützte Trust-Eingabe.

Ähnliche Artikel