是否应该将 https 证书写进客户端？

[yhvictor]

rt
突然想到，比如 chrome 是把 google 证书写死的。
那么作为客户端（ Android ，iOS ，Windows 等）开发的你，是否考虑过把对应后端证书直接写死写进 app 呢？
毕竟这样更容易避免系统层面或者根证书的劫持。
坏处自然是可能的 debug 开销跟证书更换代价。

[hanyuwei70]

pin 证书嘛，游戏类常见……
看你需不需要保护客户端和服务端之间的交互了
另外 Chrome 我记得不是写死吧，是监控 Google 系服务证书必须是 GTS 签发的

[icyalala]

SSL Pinning 就是

[hhjswf]

好像为了防抓包是有人这么做的

[dearmymy]

双向证书校验可以，大部分没必要。
看你 app 安全度了。这种别人抓包就会逆向找到你证书，照样抓包。

[Aurt]

可以，但是没必要，楼上说的很对。