解决-自托管Vaultwarden登录Android APP无法通过SSL认证

问题背景

1. 基础运行环境

1. 终端设备：Android 16 手机

2. 应用程序：Bitwarden 密码管理器安卓客户端，版本 2026.4.0

3. 服务部署模式：客户端切换为自托管模式，不再连接官方云端服务器

4. 访问域名：私有本地域名 xxxx.xxxx.local，服务端使用自签名 SSL 证书

2. 故障现象

客户端执行登录、设备校验等网络操作时，所有 HTTPS 接口请求全部失败，无法和自建 Bitwarden 服务建立通信，页面功能无法正常使用。

3. 核心报错信息

日志持续抛出 SSL 握手异常：

CertPathValidatorException: Trust anchor for certification path not found

含义为安卓系统无法识别、信任服务端下发的 SSL 证书，直接阻断网络连接。

4. 问题成因前置条件

1. .local 属于内网私有域名，无法在公共证书机构申请正规可信 SSL 证书，服务只能使用自签名证书；

2. 安卓系统默认不信任未收录的自签名证书，原生策略拒绝完成 SSL 校验。

5. 排查修复过程中遇到的实操阻碍

1. 尝试从浏览器访问服务地址导出证书用于信任配置，先后出现格式兼容问题；

2. 导出 PEM 格式证书，安卓系统无法识别该文件格式，不能完成系统级证书安装；

3. 导出加密打包类证书文件，安装界面要求输入证书密码，无原始密码无法继续操作；

4. 在 Bitwarden 客户端内上传证书时，弹窗强制要求填写别名与密码，不清楚空白证书对应的密码填写规则，配置受阻。

6. 核心诉求

选择适配安卓系统与客户端的证书格式，正确完成证书导入信任操作，消除 SSL 证书校验失败问题，恢复客户端与自托管服务器的正常网络通信。

解决方案

适用场景

安卓设备接入自托管 Bitwarden 私有内网服务，因服务器使用自签名 SSL 证书，系统缺少信任锚，出现 SSL 握手校验失败、无法登录联网问题，采用浏览器导出完整证书链并系统级安装 CA 证书的方式修复。

操作步骤

1. 访问服务域名

   电脑浏览器打开私有本地域名地址：https://xxxx.xxxx.local

2. 导出完整证书链

   1）点击地址栏左侧安全锁图标，进入证书查看页面；

   2）切换至详细信息栏目；

   3）选择导出功能，证书格式选定PKCS7 完整证书链，导出后生成.cer格式证书文件；

   4）该格式文件无加密，无需设置访问密码。

3. 传输证书至手机

   将导出好的.cer证书文件，通过文件传输方式发送到安卓手机本地存储。

4. 安卓系统安装 CA 证书

   1）进入手机系统设置，依次打开：密码与安全 → 系统安全 → 加密与凭据；

   2）选择安装 CA 证书，在文件列表中选中传输过来的.cer证书；

   3）按照指引完成证书安装，过程不会弹出密码验证窗口。

5. 重启应用验证

   完全关闭 Bitwarden 客户端后重新启动，即可正常完成账号登录，客户端与自托管服务器网络通信恢复正常。

方案优势

1. 选用 PKCS7 证书链格式，适配安卓系统识别规则，规避 PEM 格式无法安装的问题；

2. 纯公钥证书无加密属性，不会出现密码输入卡点；

3. 系统级 CA 证书安装后全局生效，彻底解决证书信任锚缺失报错。

补充注意事项

1. 导出时务必选择完整证书链，仅单张站点证书无法完成校验；

2. 安装时选择系统 CA 证书分类，保证信任策略生效；

3. 安装后重启 App 才能加载最新证书信任配置。