Lita bara på JMeter-inspelarens CA i din Android-debugbuild

Använd ett debug-overrides-ankare för en app du äger och håll sedan manifestreferensen, den faktiska inspelnings-CA:n och proxyvägen i linje.

Om din egen debug-app når JMeter men nekar HTTPS, ge dess inspelnings-CA till appens förtroendekonfiguration:

  1. Starta den riktiga JMeter HTTP(S)-inspelaren och hämta den genererade ApacheJMeterTemporaryRootCA.crt.
  2. Lägg den offentliga CA:n i appens raw-resurser som jmeter_debug_ca.crt.
  3. Slå samman detta ankare med de befintliga nätverkssäkerhetsreglerna:
<network-security-config>
    <debug-overrides>
        <trust-anchors>
            <certificates src="@raw/jmeter_debug_ca" />
        </trust-anchors>
    </debug-overrides>
</network-security-config>

Referera till den XML:en från android:networkSecurityConfig i manifestet. För network_security_config.xml använder du @xml/network_security_config.

Android tillämpar debug-overrides bara när android:debuggable är sant, och ignorerar avsnittet när det är falskt. En ankarkälla enbart för debug med user är ett annat alternativ för ett arbetsflöde som medvetet litar på CA:n som användaren har installerat.

Enbart webbläsarens förtroende bestämmer inte appens policy. Telefonen måste fortfarande nå inspelaren, och appens nätverksklient måste använda den proxyn. En anpassad stack kan behöva sin egen stödda förtroendeinmatning.

Relaterade artiklar