Oracle Apex调用Google Books API未到期证书失效问题咨询

1 Google Books API CA变更说明 #

2021年谷歌启动了全域公开API的根证书轮转动作，Google Books API属于本次轮转覆盖范围，官方没有针对单个产品单独发布变更公告，你查阅到的Google Maps API的CA变更通知就是本次全域调整的产品侧公示内容之一。
你遇到的故障发生在证书标注到期前1个月，是因为谷歌会提前1-2个月在服务端逐步切流，部分请求会优先返回新CA签发的证书链，你本地信任库未存储对应根证书就会触发验证失败。

2 证书更新操作步骤（适配Oracle 18c + APEX 19.1环境） #

• 第一步：获取Google Books API当前有效证书链
  执行命令openssl s_client -connect books.googleapis.com:443 -showcerts < /dev/null，从输出中提取完整的根证书（即证书链最顶层的受信任CA证书，格式为-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----的文本块），保存为后缀为.pem的文件。
• 第二步：将根证书导入Oracle数据库信任钱包
  APEX调用外部HTTPS接口默认使用Oracle数据库配置的信任钱包，使用orapki工具执行导入命令：
  orapki wallet add -wallet <你的钱包存储路径> -trusted_cert -cert <上一步保存的pem证书路径> -pwd <你的钱包访问密码>
  导入完成后可执行命令验证导入结果：orapki wallet display -wallet <你的钱包存储路径>，确认新证书已被标记为受信任根证书即可。
• 第三步：生效验证
  重启APEX相关服务后重新调用Google Books API，即可恢复正常访问。原有即将到期的CN=GlobalSign,O=GlobalSign,OU=GlobalSign Root CA - R2证书无需删除，不会影响新证书的验证逻辑。

内容的提问来源于stack exchange，提问作者user3138025