如何为Google APIs授权泛域名vanity域名作为JavaScript origins？

Google Cloud 控制台的 JavaScript origins 配置项原生不支持*.example.com这类通配符域名，也没有合规的方式直接突破该限制，但你可以通过两种落地路径实现多子域名调用Google API的需求，不需要开发全量的专属业务服务。

方案1：纯客户端侧桥接实现，无服务端开发成本 #

• 选择一个你可控的固定子域名（例如gapi-bridge.example.com），部署一个静态HTML页面作为API调用中转层，将该固定域名添加到Google Cloud控制台的JavaScript origins白名单中
• 所有*.example.com下的业务子域名需要调用Google API时，嵌入该固定域名的隐藏iframe，通过postMessage接口向iframe传递请求参数，由iframe实际发起Google API请求，拿到结果后再通过postMessage回传给业务页面
• 安全注意：iframe侧处理postMessage请求时必须严格校验消息来源origin，仅放行匹配*.example.com规则的请求，避免引入跨站调用风险。

方案2：轻量反向代理实现，仅需极简服务端开发 #

• 搭建一个通用反向代理服务，所有业务子域名的Google API请求先发送到该代理服务，由代理服务转发到对应Google API接口
• 该场景下不需要配置任何JavaScript origins，仅需在代理服务中使用Google服务端API密钥完成鉴权，同时在代理层增加请求来源域名校验，仅放行你的业务子域名请求即可
• 该方案仅做请求转发和基础鉴权，不需要处理业务逻辑，开发量极小。

重要提示：不要尝试通过篡改请求origin头、无限制共享API密钥等不合规方式实现需求，此类操作既存在严重安全隐患，也违反Google API服务条款，可能导致你的API调用权限被封禁。

内容的提问来源于stack exchange，提问作者lmonninger