Android 强制门户登录：登录并修复故障
Published
当您站在酒店大堂里，手机显示已连接，却什么也加载不出来。没有登录页面，没有可供操作的错误提示，只有应用在不断转圈，而 WiFi 图标旁还带着一个小警告。这就是 Android 强制门户登录未正常发挥作用，或者是网络响应 Android 的检查方式让手机卡在了已连接和在线之间。
盲目点击很少能解决问题。Android 遵循清晰的检测状态机，一旦您了解自己处于哪个状态，就知道该点击什么、更改什么设置，或者故障是否出在场所端。建议先从系统提示开始，然后逐步排查浏览器、隐私设置，最后才是强制门户设计本身。
目录
- 在一分钟内登录 Android 上的强制门户
- Android 如何判断网络是否需要登录
- 自行解决手机上的登录失败问题
- 强制门户检测的已知问题
- 自助终端和托管 Android 设备
- 选择适用于 Android 的门户设计
在一分钟内登录 Android 上的强制门户
在使用 Chrome 之前，请先点击“登录网络”通知。Android 会在自己的登录视图中将其打开，跟踪您的选择，并在您完成后重新测试网络。您自行打开的浏览器标签页无法获得任何此类处理，这就是为什么跳过提示的用户经常会遇到页面显示已登录但手机仍然提示无网络连接的情况。
- 轻触“登录网络”通知。 下拉通知栏，或轻触 WiFi 名称下方的提示。它通常会在加入网络后的几秒钟内出现，无需猜测 URL 即可直接带您前往场所页面。
- 如果没有收到通知，请打开一个普通 http 页面。 在浏览器中，访问一个 http 地址，而非 https。门户可以拦截并重定向普通请求，而加密页面则会停滞或抛出证书警告。请选择一个您最近未访问过的地址，这样浏览器就不会从其缓存中进行响应而完全绕过网络。
- 完成场所步骤。 接受条款、输入房间号、键入短信验证码，或使用提供的社交登录方式。请勿过早关闭窗口，因为 Android 需要完成信号来重新测试。
- 等待警告消除。 WiFi 图标上的警告三角形应当消失，且 无互联网连接 标签应当消失。该变化意味着 Android 已重新验证连接，而不只是加载了一个页面；这就是成功完成登录与白白填写表单之间的区别。
- 如果仍显示“无互联网连接”，请切换一次 WiFi 状态。 在尝试更具侵入性的操作之前，先关闭再打开 WiFi。重新加入会强制进行新检查并清除过期的结果。
成功连接的过程看起来很寻常，而这正是重点所在。通知消失，您想要的页面加载成功，并且离开浏览器后您的应用程序仍可正常工作。如果您正在为员工或访客制定可复用的操作指南，各类 指南汇总 可以帮助您将这些步骤整理成前台人员易于遵循的格式。
Android 如何判定网络是否需要登录
Android 并不是通过查看您的浏览器来做出决定的。它会在后台发起提问，然后对结果做出判断。
当您的手机连接到 WiFi 时，它会向已知连接性终点发送明文 HTTP 探测请求，并期待特定的空成功响应。如果网络拦截该请求并返回重定向或登录页面，Android 会将该网络视为受限网络并向您发出提示。Android 11 强制门户文档 指出，Android 在 2014 年发布的 Android 5.0（对应 API level 21）中引入了内置的强制门户检测功能，并且在历史上探测曾使用 connectivitycheck.gstatic.com。
该日期对运营商至关重要。门户网站处理并非附加的浏览器小技巧，而是一项操作系统功能，控制着提示、验证标签以及应用程序是否认为自己已联网。
Android 内部的分工与协作
Android 对工作进行了分工。NetworkMonitor 用于测试可达性和强制门户状态。预装的强制门户登录应用程序会显示身份验证页面，并将您的选择告知系统。
登录后，Android 会重新测试。如果此时探测通过，网络将转为已验证状态，警告随之清除。如果未通过，即便您填完了登录表单，依然无法正常使用互联网。
更新的路径更为简洁。网络可以在 DHCP 期间使用 DHCP Option 114 广播其门户，将其指向 Android 强制门户API 端点。Android NetworkCapabilities 参考 支持此流程的相关应用端，其中 Android 11 及更高版本可以在 DHCP 处理期间检索该端点，且带有 captive: true 的 JSON 响应会导致 Android 直接展示系统登录界面。如果该 API 不可用，Android 将回退到探测方式。
对于应用开发者而言，信号存在于网络回调中。NET_CAPABILITY_CAPTIVE_PORTAL 意味着最新的探测检测到了强制门户。NET_CAPABILITY_VALIDATED 意味着网络已通过验证。
Portal 门户返回 HTTP 200 页面并不代表已成功接入互联网。只有当网络达到已验证状态时，才算作登录成功。
解读网络响应
| 网络响应 | Android 的判定结论 | 您看到的内容 |
|---|---|---|
| 探测终点返回 HTTP 204 | 互联网已开放，无强制门户 | 无提示，可正常上网 |
| 返回 HTTP 200 及门户 HTML 而非 204 | 检测到强制门户 | 出现登录通知 |
| 探测受阻、超时或 DNS 失败 | 验证失败，未识别出门户 | 无提示，显示“无互联网连接”标签 |
| 通过 DHCP Option 114 获取 Captive JSON（Android 11 及更高版本） | 需要登录 | 直接打开系统登录页面 |
| 登录后探测通过 | 网络已通过验证 | 警告消除，应用程序可以连接 |
从左到右阅读表格。Android 并不是在评估您的品牌塑造、表单字段或页面看起来是否完工。它评估的是在登录前探测响应是否以预期的方式发生变化，以及之后是否恢复正常。
假设一台酒店平板电脑加入了访客网络，但从未弹出提示。员工常常归咎于登录页面并开始重新设计按钮。请先检查探测信号，因为如果网络阻止了探测信号、使其超时或过于顺畅地放行，Android 可能永远无法达到触发提示的强制状态。
这就是需要保持的心智模型。提示取决于网络如何响应一次自动化检查。 精美的门户网站无法修复错误的探测响应，而正确的探测响应甚至能让简单的门户网站显得稳定可靠。
解决您自己手机上的登录失败问题
在同时更改多个设置前，请先逐一排查以下症状。一次只做一项更改，重新测试一次，然后再继续。
| 症状 | 可能的原因 | 解决方法 |
|---|---|---|
| 加入网络后没有登录通知 | 探测被拦截或旧的缓存结果 | 忽略该网络，重新加入，然后在浏览器中打开一个普通 http 页面 |
| 登录页面仅在访问 https 网站时出现 | 门户仅重定向普通 http 请求 | 打开一个 http 页面以触发重定向 |
| 已登录但仍显示“无互联网连接” | 专用 DNS 或 VPN 阻止了检查 | 关闭专用 DNS 和 VPN，然后切换 WiFi |
| 门户反复出现 | 随机 MAC 地址在该会话中发生了更改 | 将网络设置为针对此网络使用设备 MAC 地址 |
| 登录页面空白或无法提交 | 浏览器缓存过期或门户页面陈旧 | 清除浏览器缓存并尝试其他浏览器 |
| 一台手机可用，另一台不可用 | Android 版本或隐私设置不同 | 比较 Android 版本并在关闭随机 MAC 的情况下进行测试 |
| 已连接，但应用程序仍无法使用 | 连通性尚未重新验证 | 等待 30 秒，然后切换飞行模式 |
建议使用此顺序，因为它是从成本最低的修复方案开始，并避免在非必要情况下削弱隐私保护。
- 切换 WiFi，然后忽略网络并重新连接。 这会清除缓存的验证结果并强制进行新的探测。
- 检查私有 DNS、VPN 和随机 MAC 地址。 这些设置直接位于 DNS、路由和设备身份的路径上，因此它们是下一个可能的阻塞因素。
- 清除浏览器缓存或尝试使用备用浏览器。 当页面空白、仅加载一半或无法提交时，请执行此操作。
隐私注意事项：关闭私有 DNS 或 VPN 会降低您在公共网络上的保护。登录成功后请立即重新开启两者，在此之前切勿进行银行交易或更改密码。
随机 MAC 地址这一项常常让人掉以轻心。如果强制门户授权了一个 MAC 身份，而您的手机在下次接入时展示了另一个 MAC 身份，场所就会将其视为新设备并再次显示强制门户。将该特定网络设置为使用设备 MAC 可以稳定会话，但您不应针对所有网络全局更改此设置。
如果这些方法都无效，请停止重置操作。记录 时间、网络名称和设备型号，然后将这些信息提供给场所管理方，以便他们检查强制门户端。如果问题超出了 WiFi 登录范畴，您可以 查找针对手机问题的帮助，了解更广泛的设备故障排除，但场所的强制门户若一直无法通过验证，重置手机出厂设置是无法解决问题的。
强制门户检测的已知问题
网络运营人员习惯性的解决方法是在登录前允许访问更多域名。但这种直觉做法可能会彻底破坏 Android 强制门户登录。
当前的 Captifi 关于强制门户未显示的相关指南 中解释道，Android 会运行自动化连接检查，通常要求收到来自 Google 连接检查端点的 HTTP 204 响应。如果围墙花园允许该端点的权限过宽，Android 可能会判定存在不受限制的互联网访问，从而抑制登录提示。通俗地说，您的允许列表可能会让手机误以为不存在强制门户。
这就是运营商忽略的权衡取舍。范围狭窄的允许列表可能会拦截门户网站所需的支付脚本或身份提供者。而范围宽泛的允许列表在保持页面美观的同时，却消除了打开该页面的触发条件。
状态机出现中断的位置
故障表现并不都是提示缺失。DNS 故障可能导致验证挂起。VPN 或私有 DNS设置可能会绕过场所的解析器。仅限 HTTPS 的行为会导致强制门户无法安全重定向任何内容。随机 MAC 地址可能会使一台手机在多次接入时看起来像是多台不同的设备。
您无法通过登录页面的截图来调试这些情况。请记录会话信号，以显示 Android 达到了哪个状态以及在何处停止。
- 探测结果：检查是否返回了 204、重定向、门户 HTML 或无任何内容？
- DNS 结果：端点是否通过场所解析程序成功解析？
- 重定向状态：网关是否将设备发送到了门户 URL？
- WebView 错误：登录视图是否无法渲染或提交？
- 随机 MAC 标识：门户授权了哪个 MAC？
- 认证后验证：表单完成后网络是否通过校验？
假设您的日志显示允许探测且登录成功，但始终未进行验证。请不要首先归咎于手持设备。请检查登录后的重定向和授权释放，因为门户网站可能已接收表单，但未通知网络放行该设备。
建议按以下顺序进行四项更改。
- 将预认证允许列表保持为门户及其登录提供商所需的最低限度。
- 记录上述针对每个失败和成功会话的遥测字段。
- 测试支持 HTTPS 的入网，以便访客不会依赖单个明文 http 触发器。
- 为不应依赖门户的设备规划非门户路径，使用诸如 OpenRoaming WiFi、Passpoint 或托管证书等选项。
自助终端与托管 Android 设备
受管理的平板电脑可能连接在正确重定向的网络上，但仍从不显示登录窗口。这并非信号强度问题，通常是策略问题。
针对消费者的建议假设您可以点击通知、禁用 VPN 和编辑 WiFi 隐私设置。自助终端用户通常无法执行其中任何操作。针对自助终端强制门户的 企业移动性指南 指出，强制门户由预载应用程序处理，并且自助终端策略必须明确允许它，因此被阻止的 强制门户系统包意味着即使网络运行正常也永远不会启动登录。
这在没人把设备当成手机的场所尤为棘手。想想 医院和学校的平板电脑、零售手持设备、酒店平板电脑以及场所自带的自助报到屏幕。访客的个人手机可以正常登录，因此员工宣称网络正常，而托管设备机队却保持离线状态。
假设经理在员工手机上测试同一网络时，零售手持设备可以正常工作，但自助终端构建版本却保持断开状态。在触及门户网站之前，请先检查策略允许列表。手机证明了重定向的存在，而手持设备则证明了托管镜像不会打开它。
请按以下顺序运行运维检查。
- 在 EMM 或 MDM 策略中允许强制门户系统包，然后推送策略并在一个测试设备上重新加入网络。
- 在该特定设备镜像上测试 Android System WebView，因为过时或禁用的 WebView 会导致门户空白或无法提交。
- 为无法显示交互式门户的设备定义备用入网路径，例如预配置配置文件或基于证书的加入，其精神类似于结构化的 BYOD 入网，而不是共享密码。
策略第一，WebView 第二，回退方案第三。如果您颠倒了这个顺序，就会针对那些只需要权限来显示Android已检测到的页面的设备去构建变通方案。
选择适用于 Android 的 Portal 页面设计
请从三个标准开始，而不是从 Portal 页面设计开始。访客返回的频率、设备是个人设备还是受管理设备，以及必须支持哪些 Android 版本，这些应当决定设计。
对于一次性访客，强制门户依然非常实用。请尽可能控制预认证允许列表的精简，支持访客预期的登录方式，并确保登录后的放行速度足够快，以便 Android 在用户开始切换设置之前完成验证。我们自己的门户可以在 15 分钟内通过 Splash URL 和 RADIUS 添加到控制器中，登录选项包括 SSO、Google、Apple、Facebook 和短信，但配置速度快并不意味着您无需测试探测行为。
对于再次光临的访客，如果可以避免，我不建议每次访问都强制弹出强制门户。Passpoint 或 OpenRoaming 允许在安装一次配置文件后，再次光临即可自动连接，无需经历强制门户的繁琐流程，也不必重复填写表单。在评估 访客 WiFi 解决方案 时，请将该路径与您现有的配置进行对比，并在做出决定前确认您的控制器和 RADIUS 设置支持该选项。
然后像运维人员一样进行测试，而不是像设计师一样。
- 支持的最旧 Android 版本：确认出现提示并完成验证。
- 当前 Android 设备：确认私有 DNS 和随机 MAC 默认设置不会导致用户陷入停滞状态。
- 托管的 Kiosk 版本：确认策略允许使用强制门户应用，且 WebView 能够正常渲染页面。
在每台设备上，等待已验证状态并打开两个应用程序，而不仅仅是浏览器。单部通过测试的手机并不能说明什么问题，因为检测结果会因 Android 版本、DHCP 支持和设备策略而异。只有在三者全部通过后，才能向访客推广。
如果您的 Android 访客屡次遇到无法提示、无法验证或无法保持登录状态的强制门户，Purple Access 可以帮助您在现有的无线接入点上运行自定义品牌强制门户（适用于一次性访客），以及针对再次访问的设备提供 Passpoint 或 OpenRoaming。在下一次部署之前，请联系我们以测试您最旧的 Android 设备、您当前的移动终端以及任何托管的自助终端构建，从而确保首次登录顺畅无阻。
