JDK1.8.0_51调用WebClient报HTTPS主机名错误升级1.8.0_202修复原因咨询

这个报错是JDK 1.8.0_51版本内置的HTTPS客户端主机名校验逻辑缺陷导致，具体原因如下：

• 8u51版本的sun.net.www.protocol.https.HttpsClient.checkURLSpoofing方法存在通配符证书匹配逻辑漏洞：当目标站点使用带SAN（主题备用名称）扩展的通配符证书、或者IP类型证书时，老版本逻辑未优先读取SAN字段做校验，反而错误使用证书CN（通用名）字段做匹配，甚至对多段通配符域名的匹配规则不符合业界规范，直接抛出主机名不匹配异常。
• 8u51到8u202之间Oracle官方修复了多项HTTPS证书处理逻辑问题：其中8u141版本正式修复了主机名校验的边界错误，优化了对等证书（peer certificates）的解析流程，优先读取SAN扩展字段做校验，同时修正了证书链解析时的编码错误，避免了证书属性读取异常的问题，这就是两个版本对等证书处理结果存在差异的核心原因。
• 8u181版本还额外修复了HTTPS握手过程中对等证书链的读取逻辑，解决了老版本错误跳过中间证书扩展字段校验的问题，进一步降低了主机名校验误判的概率。

临时规避方案（仅测试环境可用，生产环境优先升级JDK） #

如果暂时无法升级JDK版本，可通过自定义主机名校验器临时绕过默认校验，该操作存在中间人攻击风险，禁止在生产环境使用：

HttpsURLConnection.setDefaultHostnameVerifier((hostname, sslSession) -> {
    // 测试环境可直接返回true，生产环境建议自定义匹配逻辑
    return true;
});

内容的提问来源于stack exchange，提问作者Deepak