如何在Karate中跳过主机备用名称验证？

问题根源 #

你碰到的javax.net.ssl.SSLPeerUnverifiedException，核心原因是目标服务证书的主题备用名称（SAN）列表里没有你请求的主机名。哪怕把证书导入Java密钥库也没用——因为Karate的configure ssl = false只是跳过证书信任校验，并没有关闭主机名匹配验证。

可行解决方案 #

要彻底跳过主机名验证，得自定义Karate的SSL配置，强制绕过默认的主机名校验逻辑，下面两种方法任选：

方法1：脚本内局部配置（推荐） #

在你的Karate测试脚本开头添加这段自定义SSL配置，覆盖默认规则：

* configure ssl = function() {
    // 创建信任所有证书的TrustManager
    var trustAllCerts = [new javax.net.ssl.X509TrustManager() {
        checkClientTrusted: function(certs, authType) {},
        checkServerTrusted: function(certs, authType) {},
        getAcceptedIssuers: function() { return []; }
    }];
    // 初始化SSL上下文
    var sslContext = javax.net.ssl.SSLContext.getInstance("TLS");
    sslContext.init(null, trustAllCerts, new java.security.SecureRandom());
    // 创建允许所有主机名的Verifier
    var allowAllHosts = new javax.net.ssl.HostnameVerifier() {
        verify: function(hostname, session) { return true; }
    };
    // 返回自定义配置
    return { sslSocketFactory: sslContext.getSocketFactory(), hostnameVerifier: allowAllHosts };
}

这段代码同时处理了证书信任和主机名验证，完全跳过两类校验，适配你的场景。

方法2：全局JVM参数（不推荐，影响所有测试） #

如果不想改脚本，可以在运行测试时添加JVM启动参数，全局关闭主机名验证：

-Dorg.apache.http.conn.ssl.AllowAllHostnameVerifier=true

但这种方式会作用于所有测试用例，安全性较低，只适合临时调试。

关于ssl=true时的503错误 #

这个问题和SSL验证无关，大概率是Karate的请求配置和Insomnia不一致导致的。建议对比两者的请求详情：比如请求头是否完整、是否使用了代理、请求方法/路径是否有差异，调整Karate脚本的对应配置即可。

内容的提问来源于stack exchange，提问作者Manik