背景
项目中后台web服务部署成https服务时，需要使用SSL证书，如果我们不使用公共的CA时，怎么办？
不仅如此，因为是小项目，App应用主要是小范围使用，此时只有IP地址，根本没有域名，怎么办？
下面就给出我的解决方案！
环境
-
后台服务
IIS托管的Asp .net web api 服务，使用https协议
-
App及开发环境
Xamarin.Forms、VS2019
-
OpenSSL
版本为OpenSSL 1.1.1g，最好版本要大于等于这里列出的版本，因为这样才可以直接在命令行中设置subjectAltName 扩展信息，此处很关键，下面后提到！
方法
生成证书
以下出现的
10.0.20.11地址都要替换成实际项目的web服务器地址
使用openssl执行以下命令生成x509格式的ca证书
openssl req -x509 -nodes -days 365 -addext "subjectAltName = IP:10.0.20.11" -newkey rsa:2048 -keyout test.key -out test.cer
此处-addext "subjectAltName = IP:10.0.20.11" 这个参数很重要，因为我们域名，在app中我们直接通过服务端ip地址访问接口地址的，如果此时没有这个subjectAltName 这个扩展配置，Android在ca证书认证的时候，会提示Hostname 10.0.20.11 was not verified错误。
然后属性证书生成的必要信息：
# openssl req -x509 -nodes -days 365 -addext "subjectAltName = IP:10.0.20.11" -newkey rsa:2048 -keyout test.key -out test.cer
Generating a RSA private key
.......................................................+++++
......+++++
writing new private key to 'test.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:JS
Locality Name (eg, city) []:WX
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Test
Organizational Unit Name (eg, section) []:Test
Common Name (e.g. server FQDN or YOUR name) []:10.0.20.11
Email Address []:
其中 Common Name (e.g. server FQDN or YOUR name) []:10.0.20.11 后面填写的是服务端的IP地址（如果是域名，就是公司的域名）
此时会在当前目录下生成对应的key和cer证书文件
生成pfx文件
pfx是带有私钥的数字证书，可以通过IIS管理器中导入，用作服务器证书。
执行以下命令：
# openssl.exe pkcs12 -export -in test.cer -inkey test.key -out test.pfx
Enter Export Password:
Verifying - Enter Export Password:
其中 test.cer 是数字证书，包含公钥等信息，test.key是私钥，两个合并打包进test.pfx中。
如果需要对pfx加密，可以输入密码，此处未应用密码！
导入服务端证书
打开IIS管理器，打开服务器证书，选择导入，选择前面创建好的pfx文件，导入即可！
应用证书
添加网站，绑定类型选择https，在ssl证书中下拉选择前面导入的证书即可
Android项目配置
把数字证书添加未Android资源
在Resource文件下添加raw文件夹，添加csr文件，并在属性中把生成操作选择为AndroidResource。
把证书配置为受信的证书
在network_security_config.xml文件配置如下内容：
<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
<domain-config>
<!-- Release port -->
<domain includeSubdomains="true">10.0.20.11</domain>
<trust-anchors>
<certificates src="@raw/test"/>
</trust-anchors>
</domain-config>
</network-security-config>
trust-anchors中的certificates引用上传的证书，这里是test.cer，domain中添加服务端IP即可。