Charles Proxy Android 设置：SSL 分步指南

什么是 Charles Proxy？为什么要在安卓设备上使用它？

Charles Proxy 是一款跨平台的 HTTP 和 HTTPS 调试代理服务器，位于客户端应用程序与互联网之间。对于移动端工程师、安全研究人员和质量保证（QA）专家而言，Charles 充当本地中间人（MITM）引擎。 它会记录您的 Android 智能手机或模拟器发起的每个出站请求，测量端点延迟，重写请求头，限制带宽以模拟受限的蜂窝网络连接，并将 TLS 有效载荷解密为格式化的明文 JSON 或 XML 格式。

虽然通过原生开发者工具检查桌面设备的网页浏览器流量非常简单，但现代 Android 移动应用程序会使用 TLS 1.3 和证书验证例程对网络流进行加密。 通过配置适用于 Android 的 Charles Proxy，您可以在部署客户端更新之前，深入分析第三方移动应用程序的内部工作原理、审核 API 身份验证头信息、调试失败的移动支付、验证分析跟踪标签，以及诊断速率限制响应。

先决条件及查找工作站 IP 地址

在配置您的 Android 设备之前，必须确保您的计算机（正在运行 Charles Proxy）和您的 Android 手机或平板电脑都连接到了完全相同的本地 Wi-Fi 网络。咖啡馆的公共网络、企业访客 Wi-Fi 以及启用了 AP 客户端隔离功能的网络都会阻止您的手机访问计算机上的 8888 端口。

默认情况下，Charles Proxy 会在所有本地接口上监听 HTTP 代理端口 8888：

请按照以下步骤查找计算机的本地 IPv4 地址：

# macOS / Linux terminal:
ip route get 1.1.1.1 | awk '{print $7}'

# Windows PowerShell:
(Get-NetIPAddress -AddressFamily IPv4 -InterfaceAlias 'Wi-Fi*').IPAddress

步骤 1：Android Wi-Fi 手动代理配置

在确认了工作站的 IP 地址并运行了 Charles Proxy 之后，请将 Android 设备的 Wi-Fi 网络适配器配置为将所有出站 TCP 流量通过计算机的代理端口进行转发。

点击“保存”。此时，您的安卓手机发出的所有 HTTP 请求都将被路由到您计算机上的 8888 端口。

步骤 2：在 Charles 中授权 Android 连接

就在您的手机通过代理发送第一个网络数据包的瞬间，Charles Proxy 便检测到来自您本地子网中一个陌生 IP 地址的连接。出于安全考虑，Charles 会阻止该连接，直到您明确授权该设备为止。

A modal dialog will pop up on your computer screen asking: "A connection attempt from [phone IP] was received. Do you want to allow it?"

点击 允许。Charles 将自动将您的手机 IP 地址添加到其访问控制白名单中。

如果您不小心点击了“拒绝”，或者提示框从未出现，您可以通过 代理 > 访问控制设置 手动配置访问控制白名单：

步骤 3：下载 Charles SSL 证书

在此阶段，普通 HTTP 流量会被捕获，但所有 HTTPS 流量在 Charles 中都会显示为带有挂锁图标且有效载荷被乱码化的加密 CONNECT 隧道。要解密 TLS 数据流，Android 必须信任 Charles 根证书颁发机构 (CA)。

Charles 包含内置说明，并可通过本地 Web 网关按需提供其根证书：

第 4 步：在 Android 上安装 CA 证书

下载完成后，您必须将该证书安装到 Android 的凭据存储中。

在不同版本的 Android 系统上安装证书

第 5 步：启用 SSL 代理以进行 HTTPS 解密

在手机上安装该证书后，手机即可验证由Charles生成的SSL证书。不过，除非您配置了SSL代理规则，否则Charles本身不会尝试解密HTTPS流量。

第 6 步：Android 7 及以上版本的网络安全配置与 SSL 固定

如果你现在在 Android 设备上打开 Google Chrome，你会发现所有 HTTPS 网站都能成功解密。然而，当你启动原生移动应用时，请求可能会因“SSLHandshakeException：未找到证书路径的信任锚点”而失败。

从 Android 7.0（API 级别 24）开始，谷歌更改了默认信任策略：原生应用不再信任用户安装的 CA 证书，除非应用开发者在应用清单中明确允许。

方案 A：面向开发者（您正在开发的应用程序）

如果您可以访问该应用的源代码，请创建一个网络安全配置文件，以指示调试版本信任用户证书。

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <debug-overrides>
        <trust-anchors>
            <!-- Trust system CAs and user-installed CAs (Charles) in debug builds -->
            <certificates src="system" />
            <certificates src="user" />
        </trust-anchors>
    </debug-overrides>
</network-security-config>

然后在您的 AndroidManifest.xml 文件的 <application> 标签下引用此配置：

<application
    android:name=".MainApplication"
    android:icon="@mipmap/ic_launcher"
    android:label="@string/app_name"
    android:networkSecurityConfig="@xml/network_security_config">
    ...
</application>

方案 B：针对第三方应用程序（安全审计与逆向工程）

在分析无法编辑源代码的第三方生成的 APK 时，请使用以下三种成熟的绕过机制之一：

第 7 步：将 Charles 与 PXM2 4G/5G 移动代理串联

虽然查尔斯在本地检查并解密数据包，但从您的工作站发出的请求却显示的是您家中或办公室的宽带IP地址。在审计反欺诈防御机制、Instagram/TikTok移动自动化或受地理限制的流媒体API时，目标系统会将来自移动用户代理的数据中心或住宅宽带IP模式标记出来。

您可以通过PXM2专用的4G/5G移动调制解调器，将Charles Proxy作为上游组件进行串联。在此架构中，Charles会在您的桌面屏幕上本地解密并显示请求，而PXM2则通过真实的移动运营商无线网络将实际请求转发至目标。

要在 Charles 中配置上游链路，请：

第 8 步：禁用代理及常见错误的故障排除

测试结束后，请记得关闭手机上的代理。如果在 Android Wi-Fi 代理仍处于启用状态时关闭工作站上的 Charles，您的手机将完全无法连接互联网。

若要恢复原状：请返回“设置” > “网络与互联网” > “Wi-Fi” > “编辑网络” > “高级选项”，将“代理”从“手动”改回“无”。

故障排除矩阵：Android 版 Charles 代理问题

常见问题解答

相关移动代理指南

浏览 PXM2 网络中关于编程语言、操作系统和自动化平台的安装教程。

平台与操作系统指南

开发人员与自动化指南