Gmail API调用返回不同CN证书，请求合规校验方案咨询

一、Google API可能返回的证书CN及相关说明 #

Google的API服务证书除了你遇到的google.com和*.googleapis.com，还可能出现*.google.com这类CN，但更关键的是现代HTTPS证书主要依赖SAN（主题备用名称）字段来覆盖多个域名，而非仅靠CN字段。比如google.com的证书通常会在SAN中包含*.googleapis.com、gmail.googleapis.com等相关域名，这是合法的配置。

二、是否有标准CN列表可适配？ #

Google并没有公开固定的CN白名单，因为他们的证书配置会根据服务架构动态调整。硬编码CN列表的做法不可持续，反而会增加后续的维护风险和安全隐患。

三、代码修复方案 #

你的CustomHostNameVerifier仅校验CN字段的逻辑不符合现代HTTPS校验标准，这是导致请求失败的核心原因。推荐以下两种修复方式：

1. 使用官方标准的主机名验证器

直接替换自定义验证器为Java标准验证器，它会自动处理SAN和CN的正确匹配：

NetHttpTransport.Builder()
    .trustCertificates(GoogleUtils.getCertificateTrustStore())
    .setProxy(proxy)
    .setHostnameVerifier(new DefaultHostnameVerifier()) // 采用标准验证逻辑
    .build();

2. 修改自定义验证器逻辑（若必须自定义）

如果业务要求必须使用自定义验证器，需补充SAN字段的校验逻辑，步骤如下：

• 优先提取证书的SAN字段，检查是否包含匹配的目标域名（如gmail.googleapis.com或通配符*.googleapis.com）
• 若SAN字段不存在，再回退校验CN字段，同时支持通配符匹配规则（注意通配符仅匹配一级域名，如*.googleapis.com可匹配gmail.googleapis.com，但不能匹配sub.gmail.googleapis.com）
• 始终依赖GoogleUtils.getCertificateTrustStore()确保证书本身是Google签发的合法证书，避免信任非法证书

四、为什么会出现google.com的证书？ #

Google的API服务通过全球负载均衡和CDN调度，部分路由场景下会返回覆盖范围更广的证书（如google.com根域名证书），这类证书的SAN字段已经包含了所有Google相关服务域名，只是CN字段未直接显示*.googleapis.com，仅校验CN就会误判为不匹配。

内容的提问来源于stack exchange，提问作者Nikhil