targetSdkVersion24抓包问题的完美解决方案

当我们将App的targetSdkVersion升级到API 24以后，在Android 7.0(API 24)以上的手机就会出现无法抓取HTTPS请求的问题，所有的请求都会显示为Unknown。

原因：

在targetSdkVersion选择适配24后，API 24的平台默认值被变更了，在API 24以上的App默认不信任用户证书（trust-anchors里没有了这一行），因此我们使用Charles进行抓包时，安装的Charles证书就不起作用了，App不信任我们的证书，导致无法进行中间人攻击（抓包原理），因此无法抓包。
平台默认配置如下所示：

未设置的任何值均使用平台默认值。面向 Android 7.0（API 级别 24）及更高版本应用的默认配置如下所示：


    
        
    


面向 Android 6.0（API 级别 23）及更低版本应用的默认配置如下所示：

    
        
        
    

Note:

1.系统证书是系统内置的证书链，用户证书是用户安装的自信任证书。
2.为啥说Root的手机没有安全性保证，因为Root过后的手机什么都能改，包括把网络攻击者的证书安装成为系统证书。

解决方法：

如果单纯地在Manifest里制定的文件中改成API 23以下的默认设置，那么Google为我们带来的安全性变更则不复存在，但当我们复写平台默认配置的情况下，则6.0以下的手机也不能进行抓包！安全性大大提高，平台默认配置的复写配置在AndroidManifest.xml文件中。
AndroidManifest的网络配置如下所示：

android:networkSecurityConfig="@xml/network_security_config"

如果在这个配置的基本配置项base-config里改成API 23以下的默认配置，即相信用户证书的话，那相当于将安全性倒退到6.0之前，但我们可以实现只有在打debug包时才允许抓包，在打release发布包时，不允许抓包。这里就需要用到一个配置debug-overrides

//android:debuggable="true"时复写的配置，信任系统/用户证书 
//跟应用是否签名没关系，如果希望打包给服务端同学一个可抓包的包，构建prodDebug就可以，
//正式发布构建的是prodRelease，无法抓包。

    
        
        
    

所以最终的配置文件会长下面这样子，就实现了在android:debuggable="true"的情况下（通过Android Studio的直接安装 or 通过Gradle的assebleDebug）应用可以抓包。通过这个方式我们可以快速提供给服务端同学&测试同学可以抓包的App。

    //文档见：https://developer.android.com/training/articles/security-config?hl=zh-cn
    //https://developer.android.com/reference/android/security/NetworkSecurityPolicy.html?hl=zh-cn#isCleartextTrafficPermitted()
    //Android 7以上的默认配置，默认只信任系统证书/允许明文通信
    //cleartextTrafficPermitted意思是允许明文通信，设置为false的话会在明文通信时退出app
    //NOTE: WebView honors this flag for applications targeting API level 26 and up.
    
        
            
        
    

    //android:debuggable="true"时复写的配置，信任系统/用户证书
    //跟应用是否签名没关系，如果希望打包给服务端同学一个可抓包的包，构建prodDebug就可以，
    //正式发布构建的是prodRelease，无法抓包。
    
        
            
            
        
    

复写平台默认配置好处：

原本我们的app在6.0以下的手机也能被抓包，但当我们复写了以后，6.0以下的手机也不能进行抓包了，但是我们还是可以方便地构造出可以抓包的debug包，安全调试两不误！

注意：

cleartextTrafficPermitted是允许明文通信的意思，这个不要随便设置为false，设置为false意思是不允许明文通信，当服务端把HTTPS改成HTTP的时候你的App发生请求时就自动退出了，跟闪退差不多。

isCleartextTrafficPermitted() ==> NOTE: WebView honors this flag for applications targeting API level 26 and up.
当应用以API 26及以上为适配目标时WebView会遵循这个标志位。

原文中有这么一句注释，意思是当targetSdkVersion在26以上的话，如果不允许明文通信而WebView使用了明文通信的话，程序也会退出。

参考链接

谷歌官方文档-网络安全性配置
是否允许明文通信isCleartextTrafficPermitted()