Android 8：不允许明文 HTTP 流量

Question

我收到来自 Android 8 用户的报告，称我的应用（使用后端提要）不显示内容。经过调查，我发现 Android 8 上发生了以下异常：

 08-29 12:03:11.246 11285-11285/ E/: [12:03:11.245, main]: Exception: IOException java.io.IOException: Cleartext HTTP traffic to * not permitted
at com.android.okhttp.HttpHandler$CleartextURLFilter.checkURLPermitted(HttpHandler.java:115)
at com.android.okhttp.internal.huc.HttpURLConnectionImpl.execute(HttpURLConnectionImpl.java:458)
at com.android.okhttp.internal.huc.HttpURLConnectionImpl.connect(HttpURLConnectionImpl.java:127)
at com.deiw.android.generic.tasks.AbstractHttpAsyncTask.doConnection(AbstractHttpAsyncTask.java:207)
at com.deiw.android.generic.tasks.AbstractHttpAsyncTask.extendedDoInBackground(AbstractHttpAsyncTask.java:102)
at com.deiw.android.generic.tasks.AbstractAsyncTask.doInBackground(AbstractAsyncTask.java:88)
at android.os.AsyncTask$2.call(AsyncTask.java:333)
at java.util.concurrent.FutureTask.run(FutureTask.java:266)
at android.os.AsyncTask$SerialExecutor$1.run(AsyncTask.java:245)
at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1162)
at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:636)
at java.lang.Thread.run(Thread.java:764)

（我已经删除了包名、URL 和其他可能的标识符）

在 Android 7 及更低版本上一切正常，我没有在 Manifest 中设置 android:usesCleartextTraffic （并将其设置为 true 没有帮助，无论如何这都是默认值），我也不使用网络安全信息。如果我调用 NetworkSecurityPolicy.getInstance().isCleartextTrafficPermitted() ，它将返回 false 对于 Android 8， true 对于旧版本，使用相同的 apk 文件。我试图在有关 Android O 的 Google 信息中找到一些提及，但没有成功。

原文由 david.s 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 1

根据 网络安全配置-

从 Android 9（API 级别 28）开始，明文支持默认禁用。

还可以看看 Android M 和明文流量之战

来自 Google 的 Codelabs 解释

选项1 -

首先尝试使用 https:// 而不是 http:// 访问 URL

选项 2 -

创建文件 res/xml/network_security_config.xml -

 <?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config cleartextTrafficPermitted="true">
        <domain includeSubdomains="true">api.example.com(to be adjusted)</domain>
    </domain-config>
</network-security-config>

AndroidManifest.xml

 <?xml version="1.0" encoding="utf-8"?>
<manifest ...>
    <uses-permission android:name="android.permission.INTERNET" />
    <application
        ...
        android:networkSecurityConfig="@xml/network_security_config"
        ...>
        ...
    </application>
</manifest>

选项 3 -

android:usesCleartextTraffic Doc

AndroidManifest.xml -

 <?xml version="1.0" encoding="utf-8"?>
<manifest ...>
    <uses-permission android:name="android.permission.INTERNET" />
    <application
        ...
        android:usesCleartextTraffic="true"
        ...>
        ...
    </application>
</manifest>

同样正如 @david.s 的回答 所指出的那样 android:targetSandboxVersion 也可能是一个问题-

根据 清单文件-

android:targetSandboxVersion

此应用程序要使用的目标沙箱。沙盒版本号越高，安全级别越高。它的默认值为 1；您也可以将其设置为 2。将此属性设置为 2 会将应用程序切换到不同的 SELinux 沙箱。以下限制适用于 2 级沙箱：

• 网络安全配置中 usesCleartextTraffic 的默认值为false。
• 不允许 Uid 共享。

所以选项4 -

如果您有 android:targetSandboxVersion 在 <manifest> 然后将其减少到 1

AndroidManifest.xml

 <?xml version="1.0" encoding="utf-8"?>
<manifest android:targetSandboxVersion="1">
    <uses-permission android:name="android.permission.INTERNET" />
    ...
</manifest>

原文由 Hrishikesh Kadam 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 2

检查域是否在您的 network_security_config.xml 中是正确的。

在我的例子中，我使用了一个命令 --external 和 ionic cordova 这改变了域。

解决方案 1

删除 --external

解决方案 2

在 network_security_config.xml 中编辑您的域

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
<domain-config cleartextTrafficPermitted="true">
    <domain includeSubdomains="true">
       YOUR_DOMAIN (ex: localhost)
    </domain>
</domain-config>
</network-security-config>

原文由 crg 发布，翻译遵循 CC BY-SA 4.0 许可协议