听起来您使用自签名证书是安全的。但是您的使用模式的任何变化都会带来风险。例如，如果您通过 Web 浏览器或其他工具连接到您的服务器，您将无法自动验证证书。您仍然可以手动执行此操作，但它不会是自动的，并且有点容易出错。

我怀疑 T10 专注于一般情况，并没有费心说“除非您将证书固定到您的应用程序并且仅通过应用程序访问服务器或始终手动验证证书。”

如果您关心，您可以从StartSSL.com获取免费的 SSL 证书，然后完全绕过问题（尽管证书固定即使使用签名证书也会增加安全性）。

您不必信任所有证书即可使其正常工作。

• HttpClient：
  使用 HTTP 客户端，您可以将自定义信任库（包含您的私有 PKI CA 链）和 Android 默认信任库加载到SSLSocketFactory 中。它工作得很好。
  
• Webview：
  默认信任库已被信任，但如果不匹配，您必须为自定义信任库编写验证例程。
  
• Web 浏览器（不是应用程序的一部分）：
  默认 CA 是受信任的。您可以尝试通过 android 安全设置手动安装您的私有 CA，但它并不总是有效。