Android 版 Clash Meta for Android 中 rule-provider 的 tls.ca 自定义证书（自签名）被忽略，始终回退到系统证书库

[xlinmengen]

标题： Android 版 Clash Meta for Android 中 rule-provider 的 tls.ca 自定义证书（自签名）被忽略，始终回退到系统证书库

描述：

问题摘要

在为 rule-provider 的 URL 使用自签名服务器证书时，配置 tls.ca（无论是内嵌 PEM 字符串还是文件路径）在 Android 上完全没有效果。同样的配置在 Windows 上（Clash Verge / Mihomo）工作正常。在 Android 上，无论 tls.ca 配置正确、指向有效文件路径、甚至完全删除该字段，客户端始终报错 x509: certificate signed by unknown authority。

复现步骤

1. 生成自签名 CA 并签发服务器证书（包含正确的 BasicConstraints: CA:TRUE 以及必要的 IP SAN）。
2. 使用该自签名服务器证书，通过 HTTPS 托管一个规则集文件（例如 reject.yaml）。
3. 准备 Clash 配置文件，其中包含如下 rule-provider：

   rule-providers:
     reject:
       type: http
       behavior: domain
       url: "https://your-server:port/assets/reject"
       interval: 86400
       tls:
         ca: "-----BEGIN CERTIFICATE-----\n...\n-----END CERTIFICATE-----\n"

4. 将此配置导入 Clash Meta for Android。
5. 观察日志/错误信息。

预期行为

• 客户端应信任提供的 CA 证书，并通过 HTTPS 成功下载规则集。
• tls.ca 字段（无论是内嵌字符串还是文件路径）应被尊重，就像在 Windows / Mihomo 内核上一样。

实际行为

• 客户端始终失败，报错 tls: failed to verify certificate: x509: certificate signed by unknown authority。
• 已测试的变体：
  • 内嵌 PEM 字符串（ca: "-----BEGIN...\n..."）
  • 文件路径（ca: "/storage/emulated/0/Download/ca.crt"）
  • 完全删除 tls.ca
  • 在 tls 块内添加 insecure: true（或 skip-cert-verify: true）
• 结果：所有情况均产生完全相同的错误。对于 rule-provider 的 HTTPS 请求，配置文件似乎被完全忽略。

环境信息

• 应用：Clash Meta for Android
• 版本：2.11.28.Meta（以及最新可用版本）
• 内核：Mihomo (clash.meta)
• 安卓系统：ColorOS 13.1（基于 Android 13）
• 设备：OnePlus 8 Pro
• Root 状态：未 Root（原厂系统，未对系统证书库做任何修改；问题可在干净、未 Root 的设备上复现）

补充说明

• 跨平台验证：在 Windows 11 x64 上使用 Clash Verge（同样使用 Mihomo 内核），相同的配置没有任何问题。这证明配置语法和 CA 证书本身都是正确的。
• 自签名 CA 证书有效，包含 BasicConstraints: CA:TRUE，服务器证书包含正确的 SAN/IP。
• 问题出现的原因是 CMFA 的 Dart/Flutter 网络层（或原生 HTTP 客户端）没有读取配置文件中的 tls.ca 配置。它始终使用 Android 系统证书库，而系统证书库默认不信任用户安装或自定义的 CA 证书（Android 7.0+ 限制）。
• 测试过程中未使用任何 Root 权限 – 设备为原厂未修改状态。复现此问题不需要 Root。

建议修复方式

应用应在 rule-provider 下载时尊重 tls.ca 配置，具体方式：

• 使用自定义的 HttpClient / OkHttpClient，加载指定的 CA 证书。
• 或者将下载任务委托给 Mihomo 内核本身（内核已支持 tls.ca），而不是在应用自己的运行时中执行网络请求。

这对于依赖私有 PKI / 自签名证书、且不希望强迫用户 Root 设备或手动安装系统证书的用户来说至关重要。

[wwqgtxx]

又哪个AI给你的幻觉，rule-provider从来不支持指定tls ca的配置