标签“证书固定”的文章

追查拦截我们应用 TLS 的那 9 个用户,结果是谷歌

把证书固定(pinning)切到 report-only 之后,Sentry 里堆了 74 条 SPKI 不匹配。看着像是 MITM 攻击,而 AI 一口咬定“谷歌不会拦截你的 HTTPS”,直接把商店审核这个可能性排除掉了。可从生产 API 日志里捞出来的真实 IP,把这个推论掀翻了。