为什么APP必须使用HTTPS接口
现在开发APP时，几乎所有的网络请求都要求走HTTPS协议。这不只是技术趋势，更是安全底线。比如用户在登录、支付、上传个人信息时，如果还是用HTTP明文传输，数据就像写在明信片上寄出去，中间人轻轻松松就能截获账号密码。
主流操作系统也早就不给HTTP“活路”。Android 9以上默认禁止明文请求，iOS的ATS（App Transport Security）也会强制拦截不安全的连接。换句话说，你的APP要是还连着HTTP接口，很可能一上线就报错连不上。
HTTPS连接的基本前提
要让APP顺利连接HTTPS接口，服务器端得先配好有效的SSL/TLS证书。这个证书不能是自己随便生成的自签名证书，尤其是面向公众的应用。用户手机系统会校验证书是否由可信机构签发，像Let's Encrypt、DigiCert这些主流CA机构签发的证书基本都能过。
举个例子，你做了一个外卖APP，后端接口部署在阿里云上，用免费的Let's Encrypt证书配置了域名shopapi.example.com的HTTPS。这时候APP通过https://shopapi.example.com/login发请求，系统才会放行。
证书有效期和域名匹配
证书不是一劳永逸的。Let's Encrypt的证书只有90天有效期，过期后APP就会连接失败，提示“证书无效”或“连接不安全”。很多开发者踩过这个坑——上线时一切正常，两个月后突然收一堆用户投诉“无法登录”，查了半天才发现是证书过期了。
另外，证书绑定的域名必须和接口地址完全一致。如果你的APP请求的是api.example.com，但证书只配了www.example.com，那也不行。通配符证书（*.example.com）可以解决子域名问题，但得确保主域名正确。
特殊场景处理：测试环境与自签名证书
开发阶段，后端可能还没上正式证书，用的是本地生成的自签名证书。这时候APP想连测试接口，直接请求会失败。可以在开发版APP中临时关闭证书校验，但仅限调试使用。
以Android为例，可以通过自定义X509TrustManager跳过验证：
TrustManager[] trustAllCerts = new TrustManager[] {
new X509TrustManager() {
public java.security.cert.X509Certificate[] getAcceptedIssuers() {
return new java.security.cert.X509Certificate[]{};
}
public void checkClientTrusted(java.security.cert.X509Certificate[] certs, String authType) {}
public void checkServerTrusted(java.security.cert.X509Certificate[] certs, String authType) {}
}
};不过这种做法绝不能带到生产环境，否则等于把安全门敞开。
iOS ATS配置例外
iOS对HTTPS更严格，默认不允许HTTP请求，也不接受不合规的HTTPS。如果真有特殊情况需要临时放宽限制，可以在Info.plist里加例外：
<key>NSAppTransportSecurity</key>
<dict>
<key>NSExceptionDomains</key>
<dict>
<key>testapi.example.com</key>
<dict>
<key>NSExceptionAllowsInsecureHTTPLoads</key>
<true/>
<key>NSExceptionRequiresForwardSecrecy</key>
<false/>
</dict>
</dict>
</dict>但这只是权宜之计，上线前最好还是把接口升级到标准HTTPS。
避免常见坑点
有些开发者以为只要URL写成https开头就万事大吉，结果发现APP还是连不上。常见原因是服务器TLS版本太低，比如还在用TLS 1.0，而现代系统要求至少TLS 1.2。可以用在线工具检测接口的SSL安全性，提前发现问题。
另一个容易忽略的是中间证书链不完整。有的服务器只装了站点证书，没把中间CA证书一起配置，导致客户端无法构建完整的信任链。这种情况在PC浏览器可能还能访问，但在APP里经常直接报错。
上线前建议用手机直接访问接口地址，看会不会弹出证书警告。或者用curl命令模拟：
curl -v https://api.yourapp.com/health观察是否有"SSL certificate problem"之类的提示。