安卓低版本https兼容问题主因是服务端未发送完整证书链，需构造含域名证书、r3中间证、dst交叉签名证的三段式链文件，并在apache中仅用sslcertificatefile指向该链，禁用sslcertificatechainfile，同时启用tls1.0–1.2及兼容加密套件。

安卓低版本（如 android 4.x、5.x）不兼容 https，根本原因不是证书“无效”，而是服务端没把证书链发全，或链里缺了老系统信任的中间锚点。apache 配置稍有偏差，微信内置浏览器、uc、甚至部分 chrome for android 就会弹出“该证书并非来自可信赖的授权中心”。

用向下兼容的中间链替代默认链

Let’s Encrypt、腾讯云、阿里云等提供的默认 Apache 包，通常只含新链（ISRG Root X1 → R3），但 Android 4.4 及更早版本不认 ISRG Root X1，只信任 DST Root CA X3。必须手动构造一条“双锚链”：

• 第一段：你的域名证书（example.com.crt）
• 第二段：R3 中间证书（lets-encrypt-r3.pem）
• 第三段：DST Root CA X3 的交叉签名证书（isrgrootx1-cross-dst.pem 或官方提供的 fullchain_compatibility.pem）

注意：根证书本身（如 DST Root CA X3 的根）不要加；只加中间层，且顺序不能颠倒。拼成一个文件：
cat example.com.crt r3.pem dst-cross.pem > example.com.chain.pem

Apache 配置只留 SSLCertificateFile，删掉旧指令

Apache 2.4.8+ 已废弃 SSLCertificateChainFile。若配置中还保留它，会导致链被忽略，安卓端收不到中间证书。

Apache 2.4.62

Apache 2.4.62 官方 tar.gz 源码包是 Linux 及类 Unix 系统构建 Web 服务器的核心基础。通过源码编译安装，开发者能够灵活定制模块、优化性能并精准控制安装路径，满足多样化的业务需求。

下载

• 确保配置里只有这一行指向合并后的链：
  SSLCertificateFile /etc/httpd/conf/ssl/example.com.chain.pem
• SSLCertificateKeyFile 指向私钥（权限 600）
• 彻底删除 SSLCertificateChainFile 和任何重复的证书指令

TLS 协议与加密套件要适度放宽

Android 4.4 默认只支持 TLS 1.0–1.2，且不支持某些现代 ECC 套件。在 SSLProtocol 和 SSLCipherSuite 中需显式包含兼容项：

• 启用 TLS 1.0–1.2（禁用 TLS 1.3，避免老客户端握手失败）：
  SSLProtocol all -SSLv2 -SSLv3 -TLSv1.3
• 加入至少一个 Android 4.x 支持的强套件，例如：
  SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384

验证是否真正生效

别只看网页能不能打开，要确认安卓设备实际收到了完整链：

• 用安卓手机访问 https://yourdomain.com → 点地址栏锁图标 → 查看证书路径，应显示三层：你的域名 → R3 → DST Root CA X3
• 命令行快速复现（模拟旧客户端）：
  openssl s_client -connect yourdomain.com:443 -tls1_2 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -text | grep "CN ="
  输出中应同时出现你的域名 CN 和 DST Root CA X3 的 CN